- Accueil
- /
- Article
Merci pour votre commentaire.
Dans cet article
Un commentaire ?Informations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 25 mars 2026 |
|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 de SQL Server à la liste des serveurs SQL pris en charge dans Configuration requise pour le serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences relatives à l'hôte virtuel , du flux de tâches de déploiement de la sécurité des données hybrides et de l'installation de l'OVA de l'hôte HDS pour afficher la nouvelle exigence d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte d'état HDS. |
Foire aux questions
Foire aux questions
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont chiffrées avec la clé principale, qui est stockée dans l'ISO.
Q. Une seule clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont chiffrées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement impactées. Le contenu existant dans les espaces restera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que la CMK est générée pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à utiliser HDS multi-tenant ?
R. Le délai maximal pour la mise à jour du cache cloud peut être de 24 heures.
Q. Pourquoi ne vois-je pas de liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans l’Espace partenaires ?
R. Cela signifie généralement qu'il n'existe aucune organisation cliente qui réponde aux exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement impactées. Le contenu existant est accessible uniquement jusqu'à expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles chiffrées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont chiffrées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux CMK clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de transférer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser exclusivement Multi-Tenant HDS pour gérer ses clients ?
R. Non, cette fonctionnalité n'est pas prise en charge actuellement. La prise en charge de cette fonctionnalité est prévue pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à l'Espace Partenaires. Aller à Services > Sécurité des données hybrides > Paramètres . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients assignés utilisent HDS multi-locataire.
Vous pouvez également consulter vos journaux système pour vérifier que HDS est activé. Voir Testez votre déploiement de sécurité des données hybrides.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil d'installation HDS ?
R. Oui. Podman Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-locataire ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour configurer un système HDS multi-locataire ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le pack Pro n'est pas une condition requise pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide concernant la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans un environnement HDS multi-locataire ?
R. Non, actuellement, Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataire nécessite un certificat récupéré auprès d'une autorité de certification de confiance qui répond à toutes les exigences mentionnées dans Exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. Il n'est nécessaire de monter l'ISO que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Q. Une fois le système HDS multi-locataire déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation de HDS dans Partner Hub.
Commencez avec la sécurité des données hybrides multi-locataires
Aperçu de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été la priorité absolue lors de la conception de l'application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, rendu possible par les clients Webex App interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d'un chiffrement de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans l'environnement de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybride multi-locataires permet aux organisations de tirer parti de HDS par l'intermédiaire d'un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire de contrôler entièrement le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité, comme les centres de données, appartiennent au partenaire local de confiance.
Comment la sécurité des données hybride multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre les accès externes, tels que ceux des fournisseurs de services cloud.
- Des partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est proposée par le partenaire.
- Prend en charge les réunions, la messagerie et les appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer leurs clients dans le cadre d'un système de sécurité des données hybride multi-locataire.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à tirer parti de Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elle gère seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus le KMS cloud après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de transférer à nouveau les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur comportent certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients provisionnés par l'administrateur ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration et gestion HDS multi-locataires de bout en bout pour toutes les organisations clientes - Partenaire administrateur complet et droits d'administrateur complets requis.
- Gestion des organisations locataires assignées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud de Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses environnements cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent du ressort de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes appartenant à d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Toutefois, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH distinct pour obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Le déploiement d'une sécurité des données hybride exige un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams .
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparez votre environnement.
La perte totale de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de la clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide après sinistre en cas de catastrophe, telle qu'une panne de disque de base de données ou un sinistre de centre de données.
Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document décrit la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataire :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs des organisations de vos clients d'utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à jour continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans le Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d'entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et une base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par grappe. La présence de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre opération de maintenance sur un nœud. (Le cloud Webex ne met à jour qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous mettez en place un centre de données de secours sécurisé. En cas de sinistre affectant un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds actifs de sécurité des données hybrides doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours doit reproduire l'environnement de production avec des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. (Voir Centre de données de secours pour la reprise après sinistre pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que Connecté et Connexion à la mise sous tension sont cochés afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système pour vous assurer que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les journaux système. |
Que faire ensuite
Après avoir configuré passiveMode dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans la configuration passiveMode et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans crochets passiveMode configurés peut faciliter un processus de basculement rapide lors d'une reprise après sinistre. Voir Reprise après sinistre à l'aide d'un centre de données de secours pour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le magasin de clés de configuration HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN—Adresse permettant d'atteindre la machine proxy.
-
Port proxy— Numéro de port utilisé par le proxy pour écouter le trafic proxy.
-
Protocole proxy— Selon les protocoles pris en charge par votre serveur proxy, choisissez parmi les suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors de l'exécution d'une requête. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant l'envoi d'informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences en matière de sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer une solution de sécurité des données hybride multi-locataire :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre responsable de compte et assurez-vous que la fonctionnalité multi-locataire est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients ne possédant pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification figurant dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (joker). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster doivent répondre aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous utilisez une version antérieure d'ESXi.
-
Configuration minimale requise par serveur : 4 vCPU, 8 Go de mémoire vive et 30 Go d’espace disque local.
Exigences du serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Instances de cluster de basculement Always On et Groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
-
Les nœuds HDS, l'infrastructure Active Directory et le serveur MS SQL doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom de principal de service pour les connexions Kerberos.
L'outil d'installation HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec authentification Kerberos.
exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Instructions depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients ont besoin d'accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22 à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket. (wss:) relations. Pour contourner ce problème, voir Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème survient, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation partenaire a activé la fonctionnalité HDS multi-locataire et obtenez les identifiants d'un compte disposant des droits d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour le Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Virtual Host Requirements. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données principal pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être installé dans le même centre de données sécurisé que les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, mettez en place un environnement de sauvegarde dans un centre de données différent. L'environnement de sauvegarde reproduit l'environnement de production, composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte syslog. À tout le moins, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, le défaut de maintien d'un déploiement opérationnel entraînera la PERTE IRRECTABLE de ce contenu. Les clients Webex App mettent leurs clés en cache ; une panne peut donc ne pas être immédiatement perceptible, mais deviendra évidente avec le temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds Hybrid Data Security doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permette la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation compatible (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d'une licence Docker Desktop. Voir Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Mettre en place un cluster de sécurité des données hybride
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, notamment les paramètres réseau. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console de la machine virtuelle et définissez les informations d'identification. Configurez les paramètres réseau du nœud si vous ne l'avez pas fait lors du déploiement de l'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de certificats de confiance si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybride. |
| 8 |
Créez et enregistrez davantage de nœuds Finalisez la configuration du cluster. |
| 9 |
Activer le HDS multi-locataire sur le Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à jour de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
Créer une configuration ISO pour les hôtes HDS
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d'installation nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous disposez des options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences décrites dans Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre magasin de données clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine exécutant l'outil de configuration HDS ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, c'est le seul paramètre que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à retrouver. | ||||||||||
| 17 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il est impossible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous ne possédons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page ] Sélectionnez un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois l'opération terminée, les détails du modèle s'affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si l'on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la VM. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter pour la première fois à la console de la machine virtuelle du nœud Hybrid Data Security et définir les informations d'identification. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés lors du déploiement de l'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installez l'OVA HDS Host, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le protocole DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne devrait être divulgué qu'aux personnes qui en ont besoin, pour l'accès aux machines virtuelles de sécurité des données hybrides et aux administrateurs qui pourraient avoir besoin d'y apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Consultez la section Assistance proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, suivez ces étapes, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Créer un nouveau cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Centre de partenaires. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créez et enregistrez davantage de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes décrites dans Installez l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle VM en répétant les étapes décrites dans Configurer la VM Hybrid Data Security. |
| 3 |
Sur la nouvelle VM, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Que faire ensuite
Gérer les organisations locataires sur une plateforme de sécurité des données hybride multi-locataires
Activer le HDS multi-locataire sur le hub partenaire
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte État HDS. |
Ajouter des organisations locataires dans le Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybride.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Allez dans l'onglet Clients attribués. L'onglet Clients attribués ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre groupe. |
| 9 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Avant de commencer
Attribuer les clients comme indiqué dans Ajouter les organisations locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour effectuer la gestion des CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de Gestion de la CMK en attente à CMK gérée. |
| 13 |
Si la création de la CMK échoue, une erreur sera affichée. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront plus utiliser HDS pour leurs besoins de chiffrement et perdront tous leurs espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Finalisez le processus de suppression en révoquant les CMK des organisations clientes comme indiqué dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les cartes CMK des locataires expulsés du HDS.
Avant de commencer
Supprimer les clients comme indiqué dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la révocation de la CMK effectuée avec succès, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Testez votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d'avoir accès au journal système (syslog) pour vérifier que les requêtes clés sont bien transmises à votre déploiement de sécurité des données hybride multi-locataire.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de la sécurité des données hybrides, le contenu des espaces créés par les utilisateurs ne sera plus accessible une fois que les copies des clés de chiffrement mises en cache côté client auront été remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vous assurer que les requêtes clés sont bien transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation utilise Multi-Tenant HDS. Vérifiez la valeur de |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l'écran. |
| 2 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérez votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification des mises à niveau, sélectionnez l'heure et le fuseau horaire de la planification des mises à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et nouveaux mots de passe fonctionnent tous deux pendant 10 jours maximum. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour les partenaires.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution,, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (IP) address/setup, par exemple, https://192.0.2.0/setup), entrez les identifiants d'administrateur que vous avez configurés pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsqu’elle est activée, la résolution DNS externe bloquée est définie sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus important fourni par votre cluster Hybrid Data Security est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une perte Irrécupérable du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe rend indisponible le déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système (syslog) pour vous assurer que les nœuds du centre de données de secours ne sont pas en mode passif. Le message « KMS configuré en mode passif » ne devrait pas apparaître dans les journaux système. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Cependant, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS auront pris en compte la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle image ISO ou mettez à jour une image ISO via l'outil de configuration, vous devez monter l'image ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appliance vCenter Server, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Mettez sous tension le nœud HDS et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybride est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que les requêtes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de traiter rapidement toute alerte afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans le Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées. |
Effectuez la configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées. |
Finalisez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour repérer les alertes et corrigez les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez les journaux système du serveur syslog pour détecter toute activité provenant du déploiement de la sécurité des données hybrides. Filtrez les résultats pour trouver des mots comme « Avertissement » et « Erreur » afin de faciliter le dépannage. |
| 6 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en arrêtant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne pourront plus utiliser les espaces de leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil d'installation HDS à l'aide de Podman Desktop.
Podman est un outil de gestion de conteneurs gratuit et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
Que faire ensuite
Déplacez le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub.
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire géré dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « mono-locataire » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub.
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez le HDS multi-locataire pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Toutes les conditions préalables mentionnées dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats soient utilisés lors de la migration vers un système HDS multi-locataire.
| 1 |
Connectez-vous à l'Espace Partenaires. Cliquez sur Services dans le volet de gauche. Utilisez la même image ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent restent accessibles dans la nouvelle configuration multi-locataires. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Créer un cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Allez dans l'onglet Paramètres et cliquez sur Activer sur la carte État HDS. HDS activé Le message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients attribués. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de certificat appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Terminer les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une image ISO de configuration pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants en provenance du cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections fournissent des indications sur la manière de configurer différentes versions de Squid pour ignorer le trafic wss: afin d'assurer le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNouveautés et mises à jour
Ce tableau couvre les nouvelles caractéristiques ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 30 juillet, 2026 |
|
| 02 juillet, 2026 |
|
| 23 juin, 2026 |
|
| 01 juin, 2026 |
|
| Avril 16, 2026 |
|
| 25 mars, 2026 |
|
|
05 décembre, 2025 |
|
|
21 novembre, 2025 |
|
|
08 mai, 2025 |
|
| 04 mars, 2025 |
|
|
30 janvier, 2025 |
Ajout de la version 2022 du serveur SQL à la liste des serveurs SQL pris en charge dans Exigences du serveur de base de données. |
|
15 janvier, 2025 |
Ajout de Limites de la sécurité des données hybrides multi-locataires. |
|
08 janvier, 2025 |
Ajout d'une remarque dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
07 janvier, 2025 |
Mise à jour des exigences de l’hôte virtuel, flux des tâches de déploiement de sécurité des données hybrides, et installation de l’OVA de l’hôte HDS pour afficher la nouvelle exigence d’ESXi 7.0. |
|
13 décembre, 2024 |
Première publication. |
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimer tous les clients de tous vos clusters, comme mentionné dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés du HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme mentionné dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur le Settings sur la page d’aperçu de la sécurité des données hybrides et cliquez sur Deactivate HDS sur la carte HDS Status. |
Foire aux questions
Q. Les CMK et la clé maîtresse sont-ils stockés dans l'ISO ou la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont cryptées avec la clé principale, qui est stockée dans l'ISO.
Q. Une clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont cryptées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS de Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification des réunions, seront impactées immédiatement. Le contenu existant dans les espaces sera accessible jusqu'à ce que le cache local expire. Après 24 heures, les utilisateurs gérés par le partenaire passeront au Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que le CMK est généré pour un org client via l'outil de configuration HDS, les utilisateurs de l'org client commencent-ils immédiatement à tirer parti du HDS multi-locataires ?
R. Il peut y avoir un délai maximum de 24 heures pour que le cache cloud se rafraîchisse.
Q. Pourquoi ne vois-je pas une liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans Partner Hub ?
R. Cela signifie généralement qu'il n'y a pas d'organisations clientes qui répondent aux Exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont fermés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d’espaces et la planification des réunions sont impactées immédiatement. Le contenu existant n'est accessible que jusqu'à ce que le cache local expire.
Q. Les données utilisateur de l'organisation partenaire sont-elles cryptées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données des utilisateurs de l’organisation partenaire sont cryptées avec la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques aux partenaires, similaires aux CMK des clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans différentes régions (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Y a-t-il un mécanisme pour déplacer les clés vers Cloud KMS ?
R. Il n'y a pas de mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser Multi-Tenant HDS exclusivement pour gérer ses clients ?
R. Non, ce n'est pas pris en charge actuellement. Le support de cette fonctionnalité est prévu pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à Partner Hub. Allez sur Services > Hybrid Data Security > Settings . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients affectés utilisent le HDS Multi-Tenant.
Vous pouvez également vérifier vos syslogs pour vérifier que HDS est activé. Voir Testez votre déploiement hybride de sécurité des données.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil de configuration HDS ?
R. Oui. Pod man Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS Multi-Tenant ?
A. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour mettre en place un HDS Multi-Tenant ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le Pack Pro n'est pas une exigence pour les organisations partenaires. Contactez votre partenaire Cisco ou votre gestionnaire de compte pour obtenir de l'aide dans la mise en place de HDS multi-locataires.
Q. Le HSM est-il pris en charge dans le HDS multi-locataires ?
R. Non, actuellement Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataires nécessite un certificat extrait d’une AC de confiance qui répond à toutes les exigences mentionnées dans X.509 Exigences du certificat.
Q. Le montage de l'ISO est-il nécessaire chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. L'ISO n'a besoin d'être monté que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer les clés principales du client (CMK) à l'aide de l'outil de configuration HDS.
Q. Après le déploiement de Multi-Tenant HDS sur Partner Hub, les utilisateurs de l’organisation partenaire commencent-ils à exploiter le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation du HDS dans le Partner Hub.
Aperçu de la sécurité des données hybrides multi-locataires
Depuis le premier jour, la sécurité des données a été l'objectif principal de la conception de l'application Webex. La pierre angulaire de cette sécurité est le cryptage de contenu de bout en bout, activé par les clients de l'application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de l'application Webex obtiennent un cryptage de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans le domaine de la sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
Multi-Tenant Hybrid Data Security permet aux organisations de tirer parti de HDS par l’intermédiaire d’un partenaire local de confiance, qui peut agir en tant que prestataire de services et gérer le cryptage sur place et d’autres services de sécurité. Cette configuration permet à l'organisation partenaire d'avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données utilisateur des organisations clientes sont à l'abri de l'accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS au besoin. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS régulier qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion clé et l'infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment Multi-Tenant Hybrid Data Security assure la souveraineté et le contrôle des données
- Le contenu généré par l'utilisateur est protégé des accès externes, comme les fournisseurs de services de cloud.
- Les partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Possibilité d’un support technique local, si fourni par le partenaire.
- Prend en charge le contenu des réunions, des messages et des appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer des clients dans le cadre d’un système de sécurité des données hybride multi-locataires.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent pas avoir de déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à utiliser Multi-Tenant HDS pour leurs services de cryptage.
L’organisation partenaire et les organisations clientes qu’ils gèrent seront sur le même déploiement HDS Multi-Tenant.
L'organisation partenaire n'utilisera plus de KMS cloud après le déploiement de HDS multi-locataires.
- Il n'y a pas de mécanisme pour déplacer les clés vers Cloud KMS après un déploiement HDS.
- Les rôles des administrateurs ont certaines limites ; voir la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybride multi-locataires
- Administrateur complet du partenaire - Peut gérer les paramètres pour tous les clients que le partenaire gère. Peuvent également attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et attribuer des clients spécifiques à gérer par les administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres pour les clients que l'administrateur a fournis ou qui ont été affectés à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration HDS multi-locataires de bout en bout et gestion de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations locataires assignées - Droits d’administrateur partenaire et d’administrateur intégral requis.
Architecture du domaine de la sécurité
L'architecture cloud de Webex sépare différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses royaumes cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés à leurs informations personnelles telles que l'adresse électronique, est logiquement et physiquement séparé du domaine de la sécurité dans le centre de données B. Les deux sont à leur tour séparés du domaine où le contenu crypté est finalement stocké, dans le centre de données C.
Dans ce diagramme, le client est l'application Webex fonctionnant sur un ordinateur portable d'un utilisateur, et s'est authentifié avec le service d'identité. Lorsque l'utilisateur compose un message à envoyer dans un espace, les étapes suivantes ont lieu :
-
Le client établit une connexion sécurisée avec le service de gestion des clés (KMS), puis demande une clé pour chiffrer le message. La connexion sécurisée utilise l'ECDH et le KMS crypte la clé à l'aide d'une clé AES-256 master.
-
Le message est crypté avant de quitter le client. Le client l'envoie au service d'indexation, qui crée des index de recherche chiffrés pour faciliter les recherches futures du contenu.
-
Le message chiffré est envoyé au service conformité pour vérification de la conformité.
-
Le message crypté est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage de l'identité et du contenu) restent dans les royaumes de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace qui appartient à votre organisation (parce qu'il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu'une autre organisation possède la clé pour l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH séparé pour obtenir la clé du KMS approprié, puis retourne la clé à votre utilisateur sur le canal d'origine.
Le service KMS fonctionnant sur Org A valide les connexions aux KMS dans d'autres organisations utilisant x.509 Certificats ICP. Consultez Préparer votre environnement pour plus de détails sur la génération d’un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataires.
Attentes pour le déploiement de la sécurité des données hybrides
Un déploiement Hybrid Data Security nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybride, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour le Plans Cisco Webex Teams.
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparer votre environnement.
La perte totale de la configuration ISO que vous construisez pour la sécurité des données hybride ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de décrypter le contenu spatial et d'autres données cryptées dans l'application Webex. Si cela se produit, vous pouvez construire un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d’accès aux données, vous devez :
-
Gérer la sauvegarde et la récupération de la base de données et de la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide en cas de catastrophe, comme une défaillance du disque de base de données ou une catastrophe du centre de données.
Il n'y a pas de mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document couvre la mise en place et la gestion d’un déploiement Multi-Tenant Hybrid Data Security :
-
Configuration de la sécurité des données hybrides – Cela comprend la préparation de l’infrastructure requise et l’installation du logiciel de sécurité des données hybrides, la construction d’un cluster HDS, l’ajout d’organisations locataires au cluster et la gestion de leurs clés principales clients (CMK). Cela permettra à tous les utilisateurs de vos organisations clientes d'utiliser votre cluster Hybrid Data Security pour des fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement Hybrid Data Security – Le cloud Webex fournit automatiquement des mises à niveau continues. Votre service informatique peut fournir un support de niveau un pour ce déploiement et engager le support Cisco si nécessaire. Vous pouvez utiliser des notifications à l'écran et configurer des alertes par e-mail dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus – Si vous rencontrez des difficultés à déployer ou à utiliser Hybrid Data Security, le dernier chapitre de ce guide et l’annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Modèle hybride de déploiement de la sécurité des données
Au sein de votre centre de données d’entreprise, vous déployez Hybrid Data Security comme un seul groupe de nœuds sur des hôtes virtuels séparés. Les nœuds communiquent avec le cloud Webex via des sockets Web sécurisées et HTTP sécurisées.
Pendant le processus d'installation, nous vous fournissons le fichier OVA pour configurer l'appareil virtuel sur les VM que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd et votre base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs noeuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un noeud. (Le cloud Webex ne met à niveau qu'un nœud à la fois.)
Tous les nœuds d'un cluster accèdent à la même base de données clé et à l'activité de log au même serveur syslog. Les nœuds eux-mêmes sont apatrides, et traitent les requêtes clés de façon ronde, comme le veut le cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour retirer un nœud individuel du service, vous pouvez le désenister, puis le reregister si nécessaire.
Centre de données de secours pour la reprise après sinistre
Pendant le déploiement, vous configurez un centre de données de secours sécurisé. En cas de catastrophe du centre de données, vous pouvez refuser manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de veille sont synchronisées entre elles, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds Hybrid Data Security actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de veille doit refléter l'environnement de production des VM et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production a des 3 VM exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir des 3 VM. (Voir Centre de données de secours pour la reprise après sinistrepour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Advanced Settings |
| 3 |
Sur le panneau Advanced Settings ajouter la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Complétez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Restreindre l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des changements de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez Edit Settings.. |
| 7 |
Cliquez Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File. Assurez-vous Connected et Connect at power on sont vérifiées pour que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettre le nœud HDS sous tension et s'assurer qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les syslogs pour vérifier que les nœuds sont en mode passif. Vous devriez être en mesure de visualiser le message « KMS configuré en mode passif » dans le syslogs. |
Que faire ensuite
Après configuration passiveMode dans le fichier ISO et en le sauvegardant, vous pouvez créer une autre copie du fichier ISO sans le passiveMode la configuration et la sauvegarder dans un endroit sécurisé. Cette copie du fichier ISO sans passiveMode configuré peut aider à un processus de basculement rapide pendant la reprise après sinistre. Voir Reprise après sinistre à l'aide du centre de données de secourspour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nodes pour gestion des certificats et pour vérifier le statut général de la connectivité après avoir installé le proxy sur les nodes.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Pas de proxy – La valeur par défaut si vous n’utilisez pas la configuration du nœud HDS Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite – Avec le proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d’authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN – Adresse qui peut être utilisée pour atteindre la machine de proxy.
-
Port mandataire – Un numéro de port que le mandataire utilise pour écouter le trafic déclenché.
-
Protocole proxy – En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d’authentification – Choisissez parmi les types d’authentification suivants :
-
Aucune – Aucune autre authentification n’est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique – Utilisé par un agent utilisateur HTTP pour fournir un nom d’utilisateur et un mot de passe lors d’une demande. Utilise l'encodage de base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest – Permet de confirmer le compte avant d’envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
- Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour plus de détails, consultez le billet de blog Docker, « Docker met à jour et étend nos abonnements de produits ».
Les clients sans licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open-source tel que Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l’outil de configuration HDS à l’aide de Podman Desktop pour plus de détails.
X.509 Exigences en matière de certificat
La chaîne de certificats doit répondre aux exigences suivantes :
|
Exigences |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA : IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou d'un organisateur en direct. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s’identifie à l’aide du domaine CN, et non d’un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine CN. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour valider les connexions aux KMS d’autres organisations. |
|
Vous pouvez utiliser un convertisseur tel qu'OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l’outil d’installation HDS. |
| Seuls les certificats RSA sont pris en charge. |
Le logiciel KMS n'impose pas l'utilisation des clés ni les contraintes étendues d'utilisation des clés. Certaines autorités de certification exigent que des contraintes étendues d'utilisation des clés soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est possible d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandé) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 est installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d’espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s’assurer qu’il n’est pas dépassé (2 To recommandé si vous souhaitez exécuter la base de données pendant une longue période sans avoir à augmenter le stockage) |
Minimum 8 vCPU, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s’assurer qu’il n’est pas dépassé (2 To recommandé si vous souhaitez exécuter la base de données pendant une longue période sans avoir à augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On (Always On Failover Cluster Instances et Always On groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
HTTPS et WSS sortants |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats Arabes Unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à router par le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, en contournant (sans inspecter) le trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les prérequis pour la sécurité des données hybrides
| 1 |
Vérifiez que votre organisation n’a pas activé HDS dans le Control Hub et obtenez les informations d’identification d’un compte avec le partenaire administrateur avec droits d’administrateur complet et d’administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou votre gestionnaire de compte pour obtenir de l’aide avec ce processus. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Exigences de l’hôte virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, conformément aux exigences du serveur de base de données Configuration minimale requise pour le serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production a 3 MV exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 MV. |
| 6 |
Configurer un hôte syslog pour collecter les journaux des nœuds du cluster. Collectez son adresse réseau et son port syslog (la valeur par défaut est UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Étant donné que les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les pannes temporaires soient impossibles à prévenir, elles sont récupérables. Cependant, la perte complète (aucune sauvegarde disponible) de la base de données ou du fichier de configuration ISO entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker (https://www.docker.com) sur toute machine locale exécutant un système d’exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version ultérieure) avec un navigateur Web qui peut y accéder à l’adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer un ISO de configuration pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0 et 8.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la MV de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Télécharger et monter la configuration HDS ISO Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l'intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, recherchez la carte de sécurité des données hybrides, puis cliquez sur Set up. Cliquer sur Configurer dans le Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez Add a resource et cliquez sur Download .OVA file sur la page Install and Configure Software carte. Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de Help : Cliquez . Le téléchargement du fichier OVA commence automatiquement. Enregistrez le fichier dans un emplacement de votre machine.
|
Créer un ISO de configuration pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si vous n’avez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l’outil d’installation HDS pour les étapes 1 à 5 dans la procédure ci-dessous. Voir Exécuter l’outil de configuration HDS à l’aide de Podman Desktop pour plus de détails.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lors de la création du conteneur Docker à l’étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d''exécution, vous voyez "Écoute du serveur express sur le port 8080". | ||||||||||
| 6 |
L’outil d’installation ne prend pas en charge la connexion à l’hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’hôte local. Utilisez un navigateur Web pour accéder à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Log in pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Sur la page de présentation de l'outil d'installation, cliquez sur Get Started. | ||||||||||
| 9 |
Sur le panneau ISO Import vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans X.509 Exigences relatives au certificat.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un TLS Database Connection Mode:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Advanced Settings. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez Continue sur la page Reset Service Accounts Password . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez Download ISO File. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour arrêter l’outil d’installation, tapez |
Que faire ensuite
Sauvegardez le fichier de configuration ISO. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez File > Deploy OVF Template. |
| 3 |
Dans l’assistant, spécifiez l’emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Next. |
| 4 |
Le Select a name and folder , saisissez un Virtual machine name pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Next. |
| 5 |
Le Select a compute resource choisissez la ressource informatique de destination, puis cliquez sur Next. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les informations relatives au modèle, puis cliquez sur Next. |
| 7 |
Si vous êtes invité à choisir la configuration de la ressource sur le Configuration , cliquez sur 4 CPU puis cliquez sur Next. |
| 8 |
Le Select storage , cliquez sur Next pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Le Select networks sélectionnez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la machine virtuelle. |
| 10 |
Sur le panneau Customize template configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration du paramètre réseau et suivre les étapes de Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0 et 8.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la MV de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez la Console Réunions passées La MV démarre et une invite de connexion s'affiche. Si l'invite de connexion ne s'affiche pas, appuyez sur Enter.
|
| 2 |
Utilisez la connexion et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'authentification : Comme vous vous connectez à votre MV pour la première fois, vous devez changer le mot de passe administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’hôte HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez le lien Edit Configuration option. |
| 4 |
Configurez une configuration statique avec les informations d'adresse IP, de masque, de passerelle et DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Modifiez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration du réseau et redémarrez la MV pour que les modifications prennent effet. |
Télécharger et monter la configuration HDS ISO
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder à la banque de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur : |
| 2 |
Montez le fichier ISO : |
Que faire ensuite
Si votre politique informatique l’exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l’ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour obtenir un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l’URL d’installation du nœud HDS |
| 2 |
Allez sur Trust Store & Proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez Upload a Root Certificate or End Entity Certificate, puis accédez à un certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche chevron située à côté du nom de l'émetteur du certificat pour obtenir plus d'informations ou cliquez sur Delete si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez Check Proxy Connection pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu’il s’agit d’une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Une fois le test de connexion passé, pour le proxy explicite défini sur https uniquement, activez le commutateur sur Route all port 443/444 https requests from this node through the explicit proxy. Ce paramètre nécessite 15 secondes pour être pris en compte. |
| 6 |
Cliquez Install All Certificates Into the Trust Store (s'affiche pour un proxy explicite HTTPS ou un proxy d'inspection transparent) ou Reboot (s'affiche pour un proxy HTTP explicite), lisez l'invite, puis cliquez sur Install si vous êtes prêt. Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, connectez-vous à nouveau si nécessaire, puis ouvrez le Overview pour vérifier les vérifications de connectivité pour vous assurer qu’elles sont toutes à l’état vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour fournir une redondance.
Avant de commencer
-
Une fois que vous avez commencé l'enregistrement d'un nœud, vous devez le terminer dans 60 minutes ou vous devez recommencer.
-
Assurez-vous que les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l’écran, sélectionnez Services. |
| 3 |
Dans la section Hybride, recherchez la carte de sécurité des données hybrides et cliquez sur Set up. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Add a resource. |
| 5 |
Dans le premier domaine de Create a new cluster carte, saisissez un nom pour le cluster auquel vous souhaitez affecter votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l’adresse IP interne ou le nom complet de domaine (FQDN) de votre nœud et cliquez sur Add en bas de l’écran. Cette adresse IP ou ce nom de domaine complet doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez Go to Node. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests ont réussi, la page Autoriser l’accès au nœud de sécurité des données hybrides s’affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Vérifiez les Allow Access to Your Hybrid Data Security Node case à cocher, puis cliquez sur Continue. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur le panneau Hybrid Data Security , le nouveau cluster contenant le nœud que vous avez enregistré s’affiche sous la Resources Réunions passées Le nœud téléchargera automatiquement le logiciel le plus récent à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Une fois que vous avez commencé l'enregistrement d'un nœud, vous devez le terminer dans 60 minutes ou vous devez recommencer.
-
Assurez-vous que les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins pour le nouveau nœud. |
| 5 |
Enregistrez le nœud. |
Que faire ensuite
Activer le HDS multi-locataires sur le Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS Multi-Tenant avec le nombre de nœuds requis.
| 1 |
Se connecter à https://admin.webex.com. |
| 2 |
Dans le menu à gauche de l’écran, sélectionnez Services. |
| 3 |
Dans la section Hybride, trouvez Hybrid Data Security et cliquez sur Edit Settings. |
| 4 |
Cliquez Activate HDS sur la page HDS Status carte. |
Ajouter des organisations de locataires dans Partner Hub
Dans cette tâche, vous attribuez des organisations clientes à votre cluster hybride de sécurité des données.
| 1 |
Se connecter à https://admin.webex.com. |
| 2 |
Dans le menu à gauche de l’écran, sélectionnez Services. |
| 3 |
Dans la section Hybride, trouvez Hybrid Data Security et cliquez sur View all. |
| 4 |
Allez au menu Assigned customers Réunions passées La Assigned customers ne s'affichera pas tant que vous n'aurez pas créé un cluster. |
| 5 |
Cliquez Add customers. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez Add, le client sera ajouté au cluster. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre cluster. |
| 9 |
Cliquez Done en bas de l’écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés dans tous les clusters disponibles. |
Que faire ensuite
Créer les clés principales du client (CMK) à l'aide de l'outil de configuration HDS
Avant de commencer
Affecter les clients comme détaillé dans Ajouter des organisations de locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration pour les organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, identifiants) via les variables d'environnement Docker lors de la mise en page du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier de configuration ISO que vous générez contient la clé maître chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous effectuez des changements de configuration, comme ceux-ci :
-
Identifiants de base de données
-
Mises à jour du certificat
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d'exécution, vous voyez « Express server listening on port 8080 ». |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisation http://127.0.0.1:8080pour se connecter à localhost. Utilisez un navigateur web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche alors l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, entrez les identifiants de connexion de votre administrateur Partner Hub, puis cliquez sur Log in pour permettre l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Sur la page d'aperçu de l'outil de configuration, cliquez sur Get Started. |
| 9 |
Sur le panneau ISO Import page, cliquez Yes. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez au menu Tenant CMK Management onglet, où vous trouverez les trois façons suivantes de gérer les CMK des locataires.
|
| 12 |
Une fois la création de CMK réussie, le statut dans la table passera de la gestion CMK en attente à la gestion CMK. |
| 13 |
Si la création de CMK est infructueuse, une erreur s'affichera. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne seront pas en mesure de tirer parti de HDS pour leurs besoins de cryptage et perdront tous les espaces existants. Avant de supprimer les organisations clientes, veuillez contacter votre partenaire Cisco ou votre gestionnaire de compte.
| 1 |
Se connecter à https://admin.webex.com. |
| 2 |
Dans le menu à gauche de l’écran, sélectionnez Services. |
| 3 |
Dans la section Hybride, trouvez Hybrid Data Security et cliquez sur View all. |
| 4 |
Sur la page qui s’ouvre, cliquez sur Assigned Customers Réunions passées |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Terminer le processus de retrait en révoquant les CMK des organisations clientes comme détaillé dans Révoquer les CMK des locataires retirés du HDS.
Révoquer les CMK des locataires retirés du HDS.
Avant de commencer
Supprimer les clients comme détaillé dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, identifiants) via les variables d'environnement Docker lors de la mise en page du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier de configuration ISO que vous générez contient la clé maître chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous effectuez des changements de configuration, comme ceux-ci :
-
Identifiants de base de données
-
Mises à jour du certificat
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d'exécution, vous voyez « Express server listening on port 8080 ». |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisation http://127.0.0.1:8080pour se connecter à localhost. Utilisez un navigateur web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche alors l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, entrez les identifiants de connexion de votre administrateur Partner Hub, puis cliquez sur Log in pour permettre l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Sur la page d'aperçu de l'outil de configuration, cliquez sur Get Started. |
| 9 |
Sur le panneau ISO Import page, cliquez Yes. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Allez au menu Tenant CMK Management onglet, où vous trouverez les trois façons suivantes de gérer les CMK des locataires.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation cliente n’apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de CMK est infructueuse, une erreur s'affichera. |
Testez votre déploiement hybride de sécurité des données
Avant de commencer
-
Configurez votre déploiement Multi-Tenant Hybrid Data Security.
-
Assurez-vous d'avoir accès au syslog pour vérifier que les demandes clés passent à votre déploiement de sécurité des données hybride multi-locataires.
| 1 |
Les clés pour un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'un des utilisateurs de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement Hybrid Data Security, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies cachées par le client des clés de chiffrement sont remplacées. |
| 2 |
Envoyer des messages dans le nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les requêtes clés passent à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action quelconque, l'ID Org de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation exploite le HDS Multi-Tenant. Vérifier la valeur de |
Interprétation des journaux HDS et compréhension des étiquettes des agents
Les journaux HDS fournissent des informations détaillées sur les demandes KMS. Ces journaux comprennent divers champs qui permettent d'identifier la nature de la demande et l'identité associée. La compréhension de ces champs est essentielle pour interpréter correctement les activités et les opérations internes fiables.
Terminologie
Pour garantir la clarté lors de l’examen des journaux HDS, il est important de comprendre les termes suivants :
| Terme | Définition |
|---|---|
| Compte de service | Une identité de service qui permet aux services Webex d'effectuer des actions autorisées en toute sécurité. |
| Agent | Entité de service ou identité de compte de service utilisée pour effectuer des opérations automatisées dans l’environnement HDS. |
| Étiquette de l’agent | Une étiquette incluse dans les journaux HDS qui identifie la source spécifique et le type d'une demande entrante, permettant un audit efficace du contrôle d'accès. |
| Accès délégué | Un compte de service autorisé faisant une demande pour un utilisateur spécifique, dans les limites des autorisations de cet utilisateur. Apparaît comme une demande de délégation : agent -> userid. |
Dans ce contexte, le terme « Agent » fait spécifiquement référence aux identités de service HDS. Ceux-ci ne sont pas liés aux agents alimentés par l'IA utilisés dans d'autres fonctionnalités de Webex.
Une demande est signifiée uniquement lorsqu’elle émane de :
- un utilisateur authentifié dans votre organisation, ou
- un compte de service qui réside dans votre organisation et est autorisé par celle-ci.
Aperçu des champs de journal
| Champ | Ce qu’il représente |
|---|---|
| Horodatage | Date et heure de l’opération. |
| kms.data.méthode | L'opération KMS effectuée (ex : récupérer). |
| kms.data.orgld | Identifiant de l'organisation. |
| kms.data.httpUserAgent | Le client ou le service qui fait la demande. |
| WEBEX_TRACKINGID | Identificateur de suivi unique pour la demande. |
| kms.data.uriHost / kms.data.uri | L'hôte et la ressource visés par la demande. |
| kms.data.userld | L’identité exécutant la demande, y compris une étiquette d’agent. |
| kms.response.success | Indique si la demande a été acceptée. |
Types de demandes - Référence rapide
| Étiquette dans le journal | Étiquette de l’agent | Ce qu’il représente | Opérations types |
|---|---|---|---|
| Type d'utilisateur: userAgent | Agent utilisateur | Un compte de service de confiance lié à un flux de travail utilisateur, défini par votre organisation. | Création/gestion de clés pour un processus utilisateur. |
| o-agent <id> -> userid <id> | Agent Org | Un compte de service de confiance au niveau de l’organisation utilisant un accès délégué. | Extraction par le responsable de la conformité des données Webex, intégrations de calendrier. |
| c-agent <id> -> userid <id> | Agent cloud | Un service Webex effectuant une demande déléguée pour un utilisateur spécifique. | Analyse de virus, aperçu du contenu, transcriptions. |
| c-agent <id> | Agent cloud | Un service Webex effectuant une demande déléguée. | ECDHE / clés de session. |
| UUID utilisateur final | - | L'utilisateur final authentifié interagissant avec HDS. | Un utilisateur récupère sa propre clé. |
Types de demande - En détail
Les étiquettes des agents catégorisent la source de la demande et aident à déterminer les contrôles d'accès appropriés. Les exemples suivants montrent plusieurs types de demandes et les étiquettes d'agent qui leur sont associées.
-
Agent utilisateur (userAgent) :
Il s’agit de comptes de service Webex de confiance associés à des flux de travail spécifiques d’utilisateurs et qui sont rattachés à l’organisation cliente. Ils sont généralement utilisés lorsqu'un service crée et gère des clés pour le compte d'un flux de travail utilisateur.
Journal des échantillons :
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>Indicateur clé : Le journal des échantillons montre un agent utilisateur (
userAgent) effectuer des opérations de collecte de ressources pour un service Webex. -
Agent Org (o-agent) :
Ces comptes de service Webex de confiance sont autorisés à effectuer des opérations déléguées pour le compte des utilisateurs au sein de HDS. Rattachés à l’organisation cliente, ces comptes exécutent des opérations au niveau de l’organisation. Cette fonctionnalité prend en charge plusieurs fonctionnalités, telles que la possibilité pour les responsables de la conformité de rechercher et d'extraire les données de communication Webex, assurant ainsi l'alignement de l'organisation sur les normes réglementaires, de sécurité et de confidentialité des données.
Journal des échantillons :
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>Indicateur clé : Le journal des échantillons montre un agent org (
o-agent 9[~]c) récupérer une clé pour le compte de l'utilisateur (4[~]b) pour un service Webex. - Agent Cloud (c-agent) :
Ces comptes de service Webex de confiance sont autorisés à effectuer des opérations sur HDS via un accès délégué pour le compte d'un utilisateur. Ils prennent en charge les fonctionnalités essentielles - telles que les enregistrements post-réunion, les transcriptions, l'analyse anti-malware et les aperçus de fichiers qui améliorent l'expérience globale de l'utilisateur.
Bien que les Agents Cloud puissent être désactivés en modifiant l’ISO, les clients doivent savoir que cela entraînera une perte de fonctionnalités, telles que les enregistrements post-réunion, les transcriptions, les aperçus de fichiers et l’analyse automatique des logiciels malveillants dans les espaces d’applications Webex. Pour plus d'informations, voir Désactiver les agents cloudsection.
Journal des échantillons :
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>Indicateur clé : Le journal des échantillons montre un agent cloud (
c-agent b[~]c) récupérer une clé de contenu pour le compte de l'utilisateur (9[~]c). -
Interaction directe avec l’utilisateur final :
Un utilisateur authentifié interagissant directement avec HDS.
Journal des échantillons :
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=trueIndicateur clé : Le journal des échantillons indique un utilisateur final (
c[~]f) récupérer une clé et interagir directement avec HDS.
Surveiller la santé de la sécurité des données hybrides
| 1 |
En Hub de partenaires, sélectionner Services depuis le menu à gauche de l’écran. |
| 2 |
Dans la section Hybride, trouvez Hybrid Data Security et cliquez sur Edit Settings. La page Paramètres de sécurité des données hybrides apparaît.
|
| 3 |
Dans la section Notifications par e-mail, tapez une ou plusieurs adresses e-mail séparées par des virgules et appuyez sur Enter. |
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement Hybrid Data Security.
Définir le calendrier de mise à niveau du cluster
Pour définir le planning de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu à gauche de l’écran, sélectionnez Services. |
| 3 |
Dans la section Hybride, trouvez Hybrid Data Security et cliquez sur Set up |
| 4 |
Sur la page Hybrid Data Security Resources, sélectionnez le cluster. |
| 5 |
Cliquez sur le Cluster Settings Réunions passées |
| 6 |
Sur la page Paramètres du cluster, sous Calendrier de mise à niveau, sélectionnez l'heure et le fuseau horaire pour le calendrier de mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour au lendemain, si nécessaire, en cliquant sur Postpone by 24 hours. |
Modifier la configuration des nœuds
-
Modification des certificats x.509 pour cause d’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, Hybrid Data Security utilise des mots de passe de compte de service qui ont une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque les mots de passe de votre organisation arrivent à expiration, vous recevez un avis de l'équipe de Webex pour réinitialiser le mot de passe de votre compte machine. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce – Les anciens et les nouveaux mots de passe fonctionnent tous les deux pendant une durée maximale de 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation rapide – Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub avec les droits d'administrateur complets du partenaire .
Si vous n'avez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil de configuration HDS pour les étapes 1.a à 1.e dans la procédure ci-dessous. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktoppour plus de détails.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, identifiants) via les variables d'environnement Docker lors de l'affichage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n’avez qu’un seul nœud HDS en cours d’exécution, créez un nouveau nœud hybride de sécurité des données VM et enregistrez-le à l’aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
Répéter l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur web, ouvrez l’interface du nœud Hybrid Data Security (adresse IP/setup, par exemple https://192.0.2.0/setup), saisissez les identifiants d’administration que vous avez configurés pour le nœud, puis cliquez sur Sign In. |
| 2 |
Allez dans Aperçu (la page par défaut). Lorsqu’elle est activée, Blocked External DNS Resolution est réglé sur Yes. |
| 3 |
Allez au menu Trust Store & Proxy . |
| 4 |
Cliquez Check Proxy Connection. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenir à la page Aperçu, la résolution DNS externe bloquée doit être réglée sur No. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et mettre hors tension la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimer la VM. (Dans le volet de navigation gauche, faites un clic droit sur la VM et cliquez Delete.) Si vous ne supprimez pas la VM, n’oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la VM pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide du centre de données de secours
Le service le plus important que votre cluster Hybrid Data Security fournit est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, de nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Comme le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient maintenues. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe provoque l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Advanced Settings |
| 3 |
Sur le panneau Advanced Settings page, ajouter la configuration ci-dessous ou supprimer la
|
| 4 |
Complétez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Restreindre l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des changements de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez Edit Settings.. |
| 7 |
Cliquez Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File. Assurez-vous Connected et Connect at power on sont vérifiées pour que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettre le nœud HDS sous tension et s'assurer qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez la sortie syslog pour vérifier que les nœuds du centre de données de secours ne sont pas en mode passif. « KMS configuré en mode passif » ne doit pas apparaître dans les syslogs. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en continu. Vous pouvez démonter le fichier ISO après que tous les nœuds HDS aient pris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des changements de configuration. Lorsque vous créez un nouvel ISO ou mettez à jour un ISO via l'outil de configuration, vous devez monter l'ISO mis à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont enregistré les changements de configuration, vous pouvez à nouveau démonter l'ISO avec cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Fermez l'un de vos nœuds HDS. |
| 2 |
Dans le vCenter Server Appliance, sélectionnez le nœud HDS. |
| 3 |
Choisir et décocher Datastore ISO File. |
| 4 |
Mettre le nœud HDS sous tension et s'assurer qu'il n'y a pas d'alarmes pendant au moins 20 minutes. |
| 5 |
Répéter pour chaque nœud HDS tour à tour. |
Afficher les alertes et dépannage
Un déploiement Hybrid Data Security est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que cela demande du temps de retrait. Si les utilisateurs ne peuvent pas atteindre votre cluster Hybrid Data Security, ils ressentent les symptômes suivants :
-
Impossible de créer de nouveaux espaces (impossible de créer de nouvelles clés)
-
Les messages et les titres d'espace ne sont pas déchiffrés pour :
-
Nouveaux utilisateurs ajoutés à un espace (impossible de récupérer les clés)
-
Utilisateurs existants dans un espace utilisant un nouveau client (impossible de récupérer les clés)
-
-
Les utilisateurs existants dans un espace continueront à fonctionner avec succès tant que leurs clients disposent d'un cache des clés de chiffrement
Il est important que vous surveilliez correctement votre cluster Hybrid Data Security et que vous répondiez rapidement à toutes les alertes afin d'éviter toute perturbation du service.
Alertes
En cas de problème avec la configuration Hybrid Data Security, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse e-mail configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez s'il y a des erreurs dans la base de données ou des problèmes de réseau local. |
|
Panne de connexion de la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les bons identifiants de compte de service ont été utilisés dans la configuration des nœuds. |
|
Échec d'accès au service cloud. |
Vérifier que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l’enregistrement des services cloud. |
L'inscription aux services cloud a été supprimée. Le renouvellement de l’enregistrement est en cours. |
|
L'enregistrement du service cloud a chuté. |
L'inscription aux services de cloud est terminée. Le service s'arrête. |
|
Service non encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que votre certificat de serveur correspond au domaine d'activation de service configuré. La cause la plus probable est que le certificat CN a été modifié récemment et qu'il est maintenant différent du certificat CN utilisé lors de l'installation initiale. |
|
Impossible de s'authentifier aux services cloud. |
Vérifiez l'exactitude et l'expiration éventuelle des identifiants de compte de service. |
|
Impossible d'ouvrir le fichier de keystore local. |
Vérifiez l'intégrité et l'exactitude du mot de passe sur le fichier local du magasin de clés. |
|
Le certificat du serveur local est invalide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification de confiance. |
|
Impossible d'afficher les paramètres. |
Vérifiez l'accès du réseau local aux services de cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifier la configuration du montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté lors du redémarrage et qu'il est monté avec succès. |
|
La configuration de l'organisation du locataire n'est pas terminée pour les organisations ajoutées |
Terminer la configuration en créant des CMK pour les organisations de locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation du locataire n'est pas terminée pour les organisations supprimées |
Terminer la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybride
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu à gauche de l’écran, sélectionnez Services. |
| 3 |
Dans la section Hybride, trouvez Hybrid Data Security et cliquez sur Events. |
| 4 |
Examinez la page d'historique des événements pour toutes les alertes et corrigez tous les éléments que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez la sortie du serveur syslog pour l'activité liée au déploiement de la sécurité des données hybride. Filtrer les mots comme "Avertissement" et "Erreur" pour aider à résoudre les problèmes. |
| 6 |
Contact Prise en charge de Cisco. |
API Développeur HDS
Les API de développement HDS sont un moyen de récupérer des données d'analyse et de surveillance, ainsi que de dépanner vos déploiements HDS via le portail de développement Webex. Les API sont disponibles sur https://developer.webex.com/messaging/docs/api/v1/hds.
Problèmes connus pour la sécurité des données hybrides
-
Si vous fermez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en fermant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l'accès à la base de données de keystore, les utilisateurs de l'application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes créés avec des clés de votre KMS. Nous n'avons pas actuellement de solution de contournement ou de correction pour ce problème et vous exhortons à ne pas fermer vos services HDS une fois qu'ils traitent des comptes d'utilisateurs actifs.
-
Un client qui possède une connexion ECDH existante à un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécuter l'outil de configuration HDS à l'aide de Podman Desktop
Podman est un outil de gestion de conteneurs libre et open source qui fournit un moyen d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus de configuration nécessite les identifiants d'un compte Control Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, identifiants) via les variables d'environnement Docker lors de la mise en page du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier de configuration ISO que vous générez contient la clé maître chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous effectuez des changements de configuration, comme ceux-ci :
-
Identifiants de base de données
-
Mises à jour du certificat
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d'exécution, vous voyez « Express server listening on port 8080 ». L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisation http://127.0.0.1:8080pour se connecter à localhost. |
Que faire ensuite
Désactiver les agents cloud
Les Cloud Agents (c-agent) sont des comptes de service Webex de confiance qui effectuent des opérations sur HDS via un accès délégué pour le compte d’un utilisateur afin d’améliorer l’expérience utilisateur globale. La désactivation des agents cloud empêche les services Webex d'accéder aux clés HDS sur site.
La désactivation des agents cloud entraînera la perte de fonctionnalités telles que les enregistrements post-réunion, les transcriptions, les aperçus de fichiers et l'analyse antimalware automatisée dans les espaces d'applications Webex.
Suivez les étapes ci-dessous pour désactiver les agents cloud pour votre déploiement HDS.
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Advanced Settings. |
| 3 |
Sur le panneau Advanced Settings Ajoutez la configuration ci-dessous pour désactiver les agents cloud. Cela garantira que les agents cloud ne sont pas autorisés à gérer le trafic HDS.
|
| 4 |
Complétez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Restreindre l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des changements de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez Edit Settings.. |
| 7 |
Cliquez Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File. Assurez-vous Connected et Connect at power on sont vérifiées pour que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettre le nœud HDS sous tension et s'assurer qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud de votre déploiement HDS. Vérifiez que les Agents Cloud sont désactivés en vérifiant l'entrée suivante sur les syslogs : 'Mise à jour de l'agent cloud désactivée'. |
Déplacer le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire gérée dans Control Hub à un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « locataire unique » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactiver HDS, supprimer les nœuds et supprimer tous les clusters dans Control Hub
| 1 |
Connectez-vous à Control Hub. Dans le volet gauche, cliquez sur Hybrid. Sur la carte Hybrid Data Security, cliquez sur Edit Settings. |
| 2 |
Sur la page Paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Deactivate. |
| 3 |
Après désactivation, cliquez sur le Resources Réunions passées |
| 4 |
La Resources La page liste les clusters dans votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds sous ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez l'étape 4 et l'étape 5 jusqu'à ce que tous les nœuds soient déréférencés. |
| 7 |
Cliquez Cluster Settings > Remove. |
| 8 |
Cliquez Confirm Removal pour désamorcer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la radiation des nœuds et la suppression des clusters, la carte Hybrid Data Service sur le Control Hub affiche Setup not completed en bas. |
Activer Multi-Tenant HDS pour l’organisation partenaire sur Partner Hub et ajouter des clients
Avant de commencer
Tous les pré-requis mentionnés dans Exigences relatives à la sécurité des données hybrides multi-locatairessont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats sont utilisés pendant le déplacement vers Multi-Tenant HDS.
| 1 |
Connectez-vous à Partner Hub. Cliquez Services sur le volet gauche. Utilisez le même ISO de votre déploiement HDS précédent pour configurer les nœuds. Cela garantira que les messages et le contenu générés par les utilisateurs lors du déploiement HDS existant précédent sont toujours accessibles dans la nouvelle configuration Multi-Tenant. |
| 2 |
Dans la section Hybride, trouvez la carte Hybrid Data Security et cliquez sur Set up. |
| 3 |
Dans la page qui s’ouvre, cliquez sur Add a resource. |
| 4 |
Dans le premier domaine de Create a cluster carte, saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 5 |
Dans le second champ, saisissez l’adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Add en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine dans lesquels vous avez utilisé Configurer la VM Hybrid Data Security. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur le Webex.
|
| 6 |
Cliquez Go to Node. Après quelques instants, vous êtes redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests sont réussis, la page Autoriser l'accès au noeud de sécurité des données hybride apparaît. Là, vous confirmez que vous souhaitez donner des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 7 |
Vérifiez les Allow Access to Your Hybrid Data Security Node case à cocher, puis cliquez sur Continue. Votre compte est validé et le message « Inscription complète » indique que votre nœud est désormais enregistré dans le cloud Webex. Sur le panneau Hybrid Data Security le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous la Resources Réunions passées Le nœud télécharge automatiquement les derniers logiciels depuis le cloud.
|
| 8 |
Allez au menu Settings onglet, puis cliquez Activate sur la carte HDS Status.
Activated HDS message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur le Assigned customers Réunions passées |
| 10 |
Cliquez Add customers. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez Add, le client sera ajouté au cluster. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez Done en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utilisez OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour créer le fichier PKCS12 dans le format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire, et nous ne soutenons pas ou ne promouvons pas une voie par rapport à une autre.
-
Si vous choisissez d’utiliser OpenSSL, nous vous proposons cette procédure comme ligne directrice pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans X.509 Exigences du certificat. Comprenez ces exigences avant de continuer.
-
Installer OpenSSL dans un environnement pris en charge. Voir https://www.openssl.orgpour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (CA).
| 1 |
Lorsque vous recevez le certificat de serveur de votre AC, enregistrez-le comme |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utiliser un éditeur de texte pour créer un fichier groupé de certificats appelé
|
| 4 |
Créer le fichier .p12 avec le nom amical
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Remplir les conditions préalables à la sécurité des données hybrides. Vous utiliserez le hdsnode.p12 fichier, et le mot de passe que vous avez défini, dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat original expire.
Trafic entre les nœuds HDS et le Cloud
Trafic de collecte des métriques sortantes
Les nœuds Hybrid Data Security envoient certaines mesures au cloud Webex. Il s'agit notamment de métriques système pour le tas max, le tas utilisé, la charge CPU et le nombre de fils ; de métriques sur les fils synchrones et asynchrones ; de métriques sur les alertes impliquant un seuil de connexions de chiffrement, de latence ou une longueur de file d'attente de requête ; de métriques sur le groupe de données ; et de métriques de connexion de chiffrement. Les noeuds envoient du matériel clé chiffré sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants depuis le cloud Webex :
-
Les demandes de chiffrement des clients, qui sont acheminées par le service de chiffrement
-
Mises à niveau du logiciel de nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de websocket (wss:) les connexions requises par Hybrid Data Security. Ces sections donnent des conseils sur la façon de configurer les différentes versions de Squid à ignorer wss: le trafic pour un fonctionnement correct des services.
Calamar 4 et 5
Ajouter on_unsupported_protocol directive à squid.conf:
on_unsupported_protocol tunnel allCalamar 3.5.27
Nous avons testé avec succès Hybrid Data Security avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 30 juillet 2026 |
|
| 2 juillet 2026 |
|
| 23 juin 2026 |
|
| 1er juin 2026 |
|
| 16 avril 2026 |
|
| 25 mars 2026 |
|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 de SQL Server à la liste des serveurs SQL pris en charge dans Configuration requise pour le serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences relatives à l'hôte virtuel , du flux de tâches de déploiement de la sécurité des données hybrides et de l'installation de l'OVA de l'hôte HDS pour afficher la nouvelle exigence d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte d'état HDS. |
Foire aux questions
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont chiffrées avec la clé principale, qui est stockée dans l'ISO.
Q. Une seule clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont chiffrées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement impactées. Le contenu existant dans les espaces restera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que la CMK est générée pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à utiliser HDS multi-tenant ?
R. Le délai maximal pour la mise à jour du cache cloud peut être de 24 heures.
Q. Pourquoi ne vois-je pas de liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans l’Espace partenaires ?
R. Cela signifie généralement qu'il n'existe aucune organisation cliente qui réponde aux exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement impactées. Le contenu existant est accessible uniquement jusqu'à expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles chiffrées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont chiffrées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux CMK clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de transférer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser exclusivement Multi-Tenant HDS pour gérer ses clients ?
R. Non, cette fonctionnalité n'est pas prise en charge actuellement. La prise en charge de cette fonctionnalité est prévue pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à l'Espace Partenaires. Aller à Services > Sécurité des données hybrides > Paramètres . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients assignés utilisent HDS multi-locataire.
Vous pouvez également consulter vos journaux système pour vérifier que HDS est activé. Voir Testez votre déploiement de sécurité des données hybrides.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil d'installation HDS ?
R. Oui. Podman Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-locataire ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour configurer un système HDS multi-locataire ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le pack Pro n'est pas une condition requise pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide concernant la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans un environnement HDS multi-locataire ?
R. Non, actuellement, Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataire nécessite un certificat récupéré auprès d'une autorité de certification de confiance qui répond à toutes les exigences mentionnées dans Exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. Il n'est nécessaire de monter l'ISO que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Q. Une fois le système HDS multi-locataire déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation de HDS dans Partner Hub.
Aperçu de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été la priorité absolue lors de la conception de l'application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, rendu possible par les clients Webex App interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d'un chiffrement de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans l'environnement de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybride multi-locataires permet aux organisations de tirer parti de HDS par l'intermédiaire d'un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire de contrôler entièrement le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité, comme les centres de données, appartiennent au partenaire local de confiance.
Comment la sécurité des données hybride multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre les accès externes, tels que ceux des fournisseurs de services cloud.
- Des partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est proposée par le partenaire.
- Prend en charge les réunions, la messagerie et les appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer leurs clients dans le cadre d'un système de sécurité des données hybride multi-locataire.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à tirer parti de Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elle gère seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus le KMS cloud après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de transférer à nouveau les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur comportent certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients provisionnés par l'administrateur ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration et gestion HDS multi-locataires de bout en bout pour toutes les organisations clientes - Partenaire administrateur complet et droits d'administrateur complets requis.
- Gestion des organisations locataires assignées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud de Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses environnements cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent du ressort de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes appartenant à d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Toutefois, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH distinct pour obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Le déploiement d'une sécurité des données hybride exige un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams .
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparez votre environnement.
La perte totale de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de la clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide après sinistre en cas de catastrophe, telle qu'une panne de disque de base de données ou un sinistre de centre de données.
Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document décrit la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataire :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs des organisations de vos clients d'utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à jour continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans le Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d'entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et une base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par grappe. La présence de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre opération de maintenance sur un nœud. (Le cloud Webex ne met à jour qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous mettez en place un centre de données de secours sécurisé. En cas de sinistre affectant un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds actifs de sécurité des données hybrides doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours doit reproduire l'environnement de production avec des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. (Voir Centre de données de secours pour la reprise après sinistre pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système pour vous assurer que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les journaux système. |
Que faire ensuite
Après avoir configuré passiveMode dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans la configuration passiveMode et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans crochets passiveMode configurés peut faciliter un processus de basculement rapide lors d'une reprise après sinistre. Voir Reprise après sinistre à l'aide d'un centre de données de secours pour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le magasin de clés de sécurité de configuration de nœud HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN—Adresse permettant d'atteindre la machine proxy.
-
Port proxy— Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy— Selon les protocoles pris en charge par votre serveur proxy, choisissez parmi les suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors de l'exécution d'une requête. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant l'envoi d'informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Exigences en matière de sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer une solution de sécurité des données hybride multi-locataire :
- Organisations partenaires : Contactez votre partenaire Cisco ou votre responsable de compte et assurez-vous que la fonctionnalité multi-locataire est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients ne possédant pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification figurant dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (joker). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
| Seuls les certificats RSA sont pris en charge. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster doivent répondre aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous utilisez une version antérieure d'ESXi.
-
Configuration minimale requise par serveur : 4 vCPU, 8 Go de mémoire vive et 30 Go d’espace disque local.
Exigences du serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Instances de cluster de basculement Always On et Groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
-
Les nœuds HDS, l'infrastructure Active Directory et le serveur MS SQL doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom de principal de service pour les connexions Kerberos.
L'outil d'installation HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec authentification Kerberos.
exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Instructions depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients ont besoin d'accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22 à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket. (wss:) relations. Pour contourner ce problème, voir Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème survient, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation n'a pas activé HDS dans Control Hub et obtenez les identifiants d'un compte disposant des droits d'administrateur complets d'un partenaire. Assurez-vous que votre organisation cliente Webex est activée pour le Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Virtual Host Requirements. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données principal pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être installé dans le même centre de données sécurisé que les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, mettez en place un environnement de sauvegarde dans un centre de données différent. L'environnement de sauvegarde reproduit l'environnement de production, composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte syslog. À tout le moins, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, le défaut de maintien d'un déploiement opérationnel entraînera la PERTE IRRECTABLE de ce contenu. Les clients Webex App mettent leurs clés en cache ; une panne peut donc ne pas être immédiatement perceptible, mais deviendra évidente avec le temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds Hybrid Data Security doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permette la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation compatible (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d'une licence Docker Desktop. Voir Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, notamment les paramètres réseau. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console de la machine virtuelle et définissez les informations d'identification. Configurez les paramètres réseau du nœud si vous ne l'avez pas fait lors du déploiement de l'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de certificats de confiance si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybride. |
| 8 |
Créez et enregistrez davantage de nœuds Finalisez la configuration du cluster. |
| 9 |
Activer le HDS multi-locataire sur le Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à jour de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
Créer une configuration ISO pour les hôtes HDS
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d'installation nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous disposez des options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences décrites dans Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre magasin de données clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine exécutant l'outil de configuration HDS ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, c'est le seul paramètre que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à retrouver. | ||||||||||
| 17 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il est impossible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous ne possédons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page ] Sélectionnez un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois l'opération terminée, les détails du modèle s'affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si l'on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la VM. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter pour la première fois à la console de la machine virtuelle du nœud Hybrid Data Security et définir les informations d'identification. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés lors du déploiement de l'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installez l'OVA HDS Host, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le protocole DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne devrait être divulgué qu'aux personnes qui en ont besoin, pour l'accès aux machines virtuelles de sécurité des données hybrides et aux administrateurs qui pourraient avoir besoin d'y apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Consultez la section Assistance proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, suivez ces étapes, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Créer un nouveau cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Centre de partenaires. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créez et enregistrez davantage de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes décrites dans Installez l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle VM en répétant les étapes décrites dans Configurer la VM Hybrid Data Security. |
| 3 |
Sur la nouvelle VM, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Que faire ensuite
Activer le HDS multi-locataire sur le hub partenaire
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte État HDS. |
Ajouter les organisations locataires dans le Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybride.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Allez dans l'onglet Clients attribués. L'onglet Clients attribués ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre groupe. |
| 9 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Avant de commencer
Attribuer les clients comme indiqué dans Ajouter les organisations locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour effectuer la gestion des CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de Gestion de la CMK en attente à CMK gérée. |
| 13 |
Si la création de la CMK échoue, une erreur sera affichée. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront plus utiliser HDS pour leurs besoins de chiffrement et perdront tous leurs espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Finalisez le processus de suppression en révoquant les CMK des organisations clientes comme indiqué dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les cartes CMK des locataires expulsés du HDS.
Avant de commencer
Supprimer les clients comme indiqué dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la révocation de la CMK effectuée avec succès, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d'avoir accès au journal système (syslog) pour vérifier que les requêtes clés sont bien transmises à votre déploiement de sécurité des données hybride multi-locataire.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de la sécurité des données hybrides, le contenu des espaces créés par les utilisateurs ne sera plus accessible une fois que les copies des clés de chiffrement mises en cache côté client auront été remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vous assurer que les requêtes clés sont bien transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation utilise Multi-Tenant HDS. Vérifiez la valeur de |
Interprétation des journaux HDS et compréhension des étiquettes des agents
Les journaux HDS fournissent des informations détaillées concernant les requêtes KMS. Ces journaux comprennent différents champs qui permettent d'identifier la nature de la requête et l'identité associée. La compréhension de ces domaines est essentielle pour interpréter correctement les activités et garantir la fiabilité des opérations internes.
Terminologie
Pour garantir la clarté lors de l'examen des journaux HDS, il est important de comprendre les termes suivants :
| Terme | Définition |
|---|---|
| Compte de service | Une identité de service qui permet aux services Webex d'effectuer des actions autorisées en toute sécurité. |
| Agent | Une entité de service ou une identité de compte de service utilisée pour effectuer des opérations automatisées au sein de l'environnement HDS. |
| Étiquette de l'agent | Une étiquette incluse dans les journaux HDS qui identifie la source et le type spécifiques d'une requête entrante, permettant un audit efficace du contrôle d'accès. |
| Accès délégué | Un compte de service autorisé effectuant une requête pour un utilisateur spécifique, dans les limites des autorisations de cet utilisateur. Apparaît comme une demande de délégation: agent -> userid. |
Dans ce contexte, le terme « Agent » fait spécifiquement référence aux identités de service HDS. Ces éléments n'ont aucun lien avec les agents dotés d'intelligence artificielle utilisés dans d'autres fonctionnalités de Webex.
Une requête n'est traitée que lorsqu'elle provient de :
- un utilisateur authentifié de votre organisation, ou
- un compte de service qui réside dans votre organisation et est autorisé par celle- ci .
Aperçu des champs de journalisation
| Champ | Ce que cela représente |
|---|---|
| Horodatage | Date et heure de l'opération. |
| kms.data.method | L'opération KMS effectuée (par exemple, récupération). |
| kms.data.orgld | Identifiant de l'organisation. |
| kms.data.httpUserAgent | Le client ou le service qui effectue la demande. |
| WEBEX_IDENTIFIANT DE SUIVI | Identifiant de suivi unique pour la requête. |
| kms.data.uriHost / kms.data.uri | L'hôte et la ressource ciblés par la requête. |
| kms.data.userld | L'identité effectuant la requête, y compris l'étiquette de l'agent. |
| kms.response.succès | Indique si la requête a abouti. |
Types de requêtes - Guide rapide
| Étiquette dans le journal | Étiquette de l'agent | Ce que cela représente | Opérations typiques |
|---|---|---|---|
| Type d'utilisateur : AgentUtilisateur | Agent Utilisateur | Un compte de service de confiance lié à un flux de travail utilisateur et limité à votre organisation. | Creating/managing clés pour un processus utilisateur. |
| o-agent <id> -> ID de l'utilisateur <id> | Agent d'organisation | Un compte de service de confiance au niveau de l'organisation utilisant un accès délégué. | Extraction des données Webex et intégrations de calendrier par le responsable de la conformité. |
| c-agent <id> -> ID de l'utilisateur <id> | Agent cloud | Un service Webex exécutant une requête déléguée pour un utilisateur spécifique. | Analyse antivirus, aperçu du contenu, transcriptions. |
| agent c <id> | Agent cloud | Un service Webex exécutant une requête déléguée. | ECDHE / clés de session. |
| UUID de l'utilisateur final | - | L'utilisateur final authentifié interagissant avec HDS. | Un utilisateur récupère sa propre clé. |
Types de requêtes - En détail
Les étiquettes d'agent catégorisent la source de la requête et aident à déterminer les contrôles d'accès appropriés. Les exemples suivants illustrent différents types de requêtes et les étiquettes d'agent qui leur sont associées.
-
Agent utilisateur (userAgent):
Il s'agit de comptes de service Webex de confiance, associés à des flux de travail utilisateur spécifiques et limités à l'organisation cliente. Elles sont généralement utilisées lorsqu'un service crée et gère des clés pour le compte d'un flux de travail utilisateur.
Exemple de journal :
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent utilisateur (
userAgent) effectuant des opérations de collecte de ressources pour un service Webex. -
Agent d'organisation (o-agent):
Ces comptes de service Webex de confiance sont autorisés à effectuer des opérations déléguées au nom des utilisateurs au sein de HDS. Ces comptes, adaptés à l'organisation cliente, exécutent des opérations au niveau de l'organisation. Cette fonctionnalité prend en charge plusieurs fonctions, telles que la possibilité pour les responsables de la conformité de rechercher et d'extraire les données de communication Webex, garantissant ainsi l'alignement de l'organisation avec les normes réglementaires, de sécurité et de confidentialité des données.
Exemple de journal :
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent d'organisation (
o-agent 9[~]c) récupérant une clé au nom de l'utilisateur (4[~]b) pour un service Webex. - Agent Cloud (c-agent):
Ces comptes de service Webex de confiance sont autorisés à effectuer des opérations sur HDS via un accès délégué au nom d'un utilisateur. Ils prennent en charge des fonctionnalités essentielles, telles que l'enregistrement des réunions, les transcriptions, l'analyse anti-malware et la prévisualisation des fichiers, qui améliorent l'expérience utilisateur globale.
Bien que les agents cloud puissent être désactivés en modifiant l'ISO, les clients doivent savoir que cela entraînera une perte de fonctionnalités, telles que les enregistrements post-réunion, les transcriptions, les aperçus de fichiers et l'analyse anti-malware automatisée dans Webex App Spaces. Pour plus d'informations, consultez la section Désactiver les agents cloud.
Exemple de journal :
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent cloud (
c-agent b[~]c) récupérant une clé de contenu au nom de l'utilisateur (9[~]c). -
Interaction directe avec l'utilisateur final:
Un utilisateur authentifié interagissant directement avec HDS.
Exemple de journal :
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true Indicateur clé: L'exemple de journal montre un utilisateur final (
c[~]f) récupérant une clé et interagissant directement avec HDS.
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l'écran. |
| 2 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification des mises à niveau, sélectionnez l'heure et le fuseau horaire de la planification des mises à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et nouveaux mots de passe fonctionnent tous deux pendant 10 jours maximum. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour les partenaires.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution,, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (IP) address/setup, par exemple, https://192.0.2.0/setup), entrez les identifiants d'administrateur que vous avez configurés pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsqu’elle est activée, la résolution DNS externe bloquée est définie sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus important fourni par votre cluster Hybrid Data Security est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une perte Irrécupérable du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe rend indisponible le déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système (syslog) pour vous assurer que les nœuds du centre de données de secours ne sont pas en mode passif. Le message « KMS configuré en mode passif » ne devrait pas apparaître dans les journaux système. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Cependant, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS auront pris en compte la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle image ISO ou mettez à jour une image ISO via l'outil de configuration, vous devez monter l'image ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appliance vCenter Server, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Mettez sous tension le nœud HDS et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS. |
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybride est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que les requêtes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de traiter rapidement toute alerte afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans le Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées. |
Effectuez la configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées. |
Finalisez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour repérer les alertes et corrigez les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez les journaux système du serveur syslog pour détecter toute activité provenant du déploiement de la sécurité des données hybrides. Filtrez les résultats pour trouver des mots comme « Avertissement » et « Erreur » afin de faciliter le dépannage. |
| 6 |
Contacter l'Assistance Cisco. |
API de développement HDS
Les API HDS Developer permettent de récupérer des données d'analyse et de surveillance, ainsi que de dépanner vos déploiements HDS via le portail développeur Webex. Les API sont disponibles à l' https://developer.webex.com/messaging/docs/api/v1/hds.
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en arrêtant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne pourront plus utiliser les espaces de leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil d'installation HDS à l'aide de Podman Desktop.
Podman est un outil de gestion de conteneurs gratuit et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. |
Que faire ensuite
Désactiver les agents cloud
Les agents cloud (c-agent) sont des comptes de service Webex de confiance qui effectuent des opérations sur HDS via un accès délégué au nom d'un utilisateur afin d'améliorer l'expérience utilisateur globale. La désactivation des agents cloud empêche les services Webex d'accéder aux clés HDS locales.
La désactivation des agents cloud entraînera la perte de fonctionnalités telles que les enregistrements post-réunion, les transcriptions, les aperçus de fichiers et l'analyse anti-malware automatisée dans Webex App Spaces.
Suivez les étapes ci-dessous pour désactiver les agents cloud de votre déploiement HDS.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés. |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour désactiver les agents cloud. Cela permettra de s'assurer que les agents cloud ne sont pas autorisés à gérer le trafic HDS.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez l'opération pour chaque nœud de votre déploiement HDS. Vérifiez que les agents cloud sont désactivés en consultant les journaux système pour l'entrée suivante : « Mise à jour de l'agent cloud désactivée ». |
Déplacez le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub.
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire géré dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « mono-locataire » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub.
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez le HDS multi-locataire pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Toutes les conditions préalables mentionnées dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats soient utilisés lors de la migration vers un système HDS multi-locataire.
| 1 |
Connectez-vous à l'Espace Partenaires. Cliquez sur Services dans le volet de gauche. Utilisez la même image ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent restent accessibles dans la nouvelle configuration multi-locataires. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Créer un cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Allez dans l'onglet Paramètres et cliquez sur Activer sur la carte État HDS. HDS activé Le message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients attribués. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de certificat appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Terminer les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une image ISO de configuration pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants en provenance du cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections fournissent des indications sur la manière de configurer différentes versions de Squid pour ignorer le trafic wss: afin d'assurer le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et toutes les erreurs majeures corrigées dans le Guide de déploiement pour la sécurité hybride des données multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 1 octobre 2026 | |
| 21 septembre 2026 |
|
| 31 août 2026 |
|
| 28 août 2026 |
|
| 30 juillet 2026 |
|
| 2 juillet 2026 |
|
| 23 juin 2026 |
|
| 1 juin 2026 |
|
| 16 avril 2026 |
|
| 25 mars 2026 |
|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
La version 2022 du serveur SQL a été ajoutée à la liste des serveurs SQL pris en charge dans la section Configuration requise pour les serveurs de base de données. |
|
15 janvier 2025 |
Ajout de limites à la sécurité des données hybrides multilocataires. |
|
8 janvier 2025 |
Dans la section Effectuer la configuration initiale et télécharger les fichiers d'installation, une note a été ajoutée indiquant que le fait de cliquer sur Configurer sur la carte HDS dans Partner Hub constitue une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences en matière d'hôte virtuel, flux de tâches de déploiement de la sécurité hybride des données et installation du HDS Host OVA pour répondre aux nouvelles exigences d'ESXi 7.0. |
|
13 décembre 2024 |
Publié pour la première fois. |
Présentation de la sécurité des données hybrides multilocataires
Dès le premier jour, la sécurité des données a été au cœur de la conception de l'application Webex. La pierre angulaire de cette sécurité est le cryptage du contenu de bout en bout, activé par les clients de l'application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est chargé de créer et de gérer les clés cryptographiques que les clients utilisent pour crypter et déchiffrer dynamiquement les messages et les fichiers.
Par défaut, tous les clients de l'application Webex bénéficient d'un cryptage de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. Hybrid Data Security déplace le KMS et les autres fonctions liées à la sécurité vers le centre de données de votre entreprise, afin que personne d'autre que vous ne détienne les clés de votre contenu crypté.
La sécurité hybride des données multi-locataires permet aux organisations de tirer parti du HDS par l'intermédiaire d'un partenaire local de confiance, capable d'agir en tant que fournisseur de services et de gérer le cryptage sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire d'avoir un contrôle total sur le déploiement et la gestion des clés de cryptage et garantit la protection des données utilisateur des organisations clientes contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti du HDS, étant donné que les services de gestion des clés et les infrastructures de sécurité, telles que les centres de données, appartiennent à un partenaire local de confiance.
Comment la sécurité hybride des données multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre tout accès externe, comme les fournisseurs de services cloud.
- Des partenaires de confiance locaux gèrent les clés de cryptage des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est fournie par le partenaire.
- Supporte le contenu relatif aux réunions, à la messagerie et aux appels.
Ce document vise à aider les organisations partenaires à configurer et à gérer leurs clients dans le cadre d'un système hybride de sécurité des données multitenant.
Limites de la sécurité des données hybrides multilocataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations de locataires ou de clients qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois le Multi-Tenant HDS déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à utiliser Multi-Tenant HDS pour leurs services de cryptage.
L'organisation partenaire et les organisations clientes qu'ils gèrent utiliseront le même déploiement HDS multi-tenant.
L'organisation partenaire n'utilisera plus le cloud KMS après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de renvoyer les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur ont certaines limites ; voir la section ci-dessous pour plus de détails.
Rôles dans le domaine de la sécurité des données hybrides multilocataires
- Administrateur à part entière du partenaire - Peut gérer les paramètres de tous les clients gérés par le partenaire. Peut également attribuer des rôles d'administrateur aux utilisateurs existants de l'organisation et attribuer des clients spécifiques à gérer par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a configurés ou qui ont été assignés à l'utilisateur.
- Administrateur à part entière : administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion du HDS multitenant de bout en bout pour toutes les organisations clientes. Le partenaire est administrateur complet et droits d'administrateur complets sont requis.
- Gestion des organisations de locataires assignées - Administrateur partenaire et droits d'administrateur complets requis.
Architecture du domaine de sécurité
L'architecture cloud Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme indiqué ci-dessous.
Pour mieux comprendre la sécurité hybride des données, examinons d'abord cette solution purement cloud, dans laquelle Cisco fournit toutes les fonctions de son domaine cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement mis en corrélation avec leurs informations personnelles, telles que leur adresse e-mail, est logiquement et physiquement distinct du domaine de sécurité du centre de données B. Les deux sont à leur tour séparés du domaine où le contenu crypté est finalement stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex qui s'exécute sur l'ordinateur portable de l'utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se déroulent :
-
Le client établit une connexion sécurisée avec le service de gestion des clés (KMS), puis demande une clé pour crypter le message. La connexion sécurisée utilise l'ECDH, et le KMS chiffre la clé à l'aide d'une clé principale AES-256.
-
Le message est crypté avant de quitter le client. Le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures sur le contenu.
-
Le message crypté est envoyé au service de conformité pour les contrôles de conformité.
-
Le message crypté est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous transférez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données local. Les autres services cloud qui constituent Webex (y compris le stockage des identités et du contenu) restent du domaine de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes d'autres organisations. Lorsque l'un de vos utilisateurs demande la clé d'un espace appartenant à votre organisation (parce que celui-ci a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH distinct afin d'obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS qui fonctionne sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Prepare your Environment pour plus de détails sur la génération d'un certificat x.509 à utiliser dans le cadre de votre déploiement de solutions hybrides multilocataires de sécurité des données.
Les attentes concernant le déploiement d'une solution hybride de sécurité des données
Un déploiement hybride de sécurité des données nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de cryptage.
Pour déployer Hybrid Data Security, vous devez fournir :
-
Un centre de données sécurisé dans un pays où les Cisco Webex Teamsforfaits sont pris en charge.
-
L'équipement, les logiciels et l'accès au réseau décrits dans Prepare your Environment.
La perte totale de l'ISO de configuration que vous avez créée pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données cryptées dans l'application Webex. Dans ce cas, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter de perdre l'accès aux données, vous devez :
-
Gérez la sauvegarde et la restauration de la base de données et de l'ISO de configuration.
-
Soyez prête à effectuer une reprise d'activité rapide en cas de catastrophe, comme une panne de disque de base de données ou une catastrophe dans un centre de données.
La migration de Multi-Tenant Hybrid Data Security (HDS) vers Webex Cloud KMS n'est pas prise en charge. La mise hors service du HDS entraînera la perte de l'accès au contenu et aux données précédemment chiffrés avec ces clés. Vous devez conserver le HDS pour conserver l'accès au contenu crypté existant.
Processus de configuration de haut niveau
Ce document traite de la configuration et de la gestion d'un déploiement de sécurité des données hybride multitenant :
-
Mettre en place la sécurité hybride des données : cela inclut la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion des clés principales de leurs clients (CMK). Cela permettra à tous les utilisateurs de vos organisations clientes d'utiliser votre cluster Hybrid Data Security pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement hybride de sécurité des données : le cloud Webex propose automatiquement des mises à niveau continues. Votre service informatique peut fournir une assistance de niveau 1 pour ce déploiement et faire appel à l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans Partner Hub.
-
Comprenez les alertes courantes, les étapes de dépannage et les problèmes connus. Si vous rencontrez des difficultés pour déployer ou utiliser Hybrid Data Security, le dernier chapitre de ce guide et l'annexe sur les problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Modèle de déploiement hybride de la sécurité des données
Au sein du centre de données de votre entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des Websockets sécurisés et un HTTP sécurisé.
Pendant le processus d'installation, nous vous fournissons le fichier OVA pour configurer l'appliance virtuelle sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise le serveur Syslogd et la base de données PostgreSQL ou Microsoft SQL Server que vous avez fournis. (Vous configurez les informations de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons d'en utiliser au moins trois par cluster. Le fait de disposer de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le cloud Webex ne met à niveau qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent à la même banque de données clés et enregistrent leur activité sur le même serveur Syslog. Les nœuds eux-mêmes sont apatrides et traitent les demandes clés de manière circulaire, selon les instructions du cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez sur Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer, puis le réenregistrer si nécessaire.
Assistance par proxy
Hybrid Data Security prend en charge les proxys explicites et transparents et les proxys non inspectables. Vous pouvez associer ces proxys à votre déploiement afin de sécuriser et de surveiller le trafic de l'entreprise vers le cloud. Vous pouvez utiliser l'interface d'administration de la plateforme sur les nœuds pour gérer les certificats et vérifier l'état général de la connectivité après avoir configuré le proxy sur les nœuds.
Les nœuds Hybrid Data Security prennent en charge les options de proxy suivantes :
-
Pas de proxy : par défaut, si vous n'utilisez pas la configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n'est requise.
-
Proxy transparent sans inspection — Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modification pour fonctionner avec un proxy qui n'inspecte pas. Aucune mise à jour du certificat n'est requise.
-
Tunneling transparent ou inspection d'un proxy — Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPS n'est nécessaire sur les nœuds. Cependant, les nœuds ont besoin d'un certificat racine pour faire confiance au proxy. Les proxys d'inspection sont généralement utilisés par les services informatiques pour appliquer les politiques relatives aux sites Web qui peuvent être visités et aux types de contenu interdits. Ce type de proxy déchiffre tout votre trafic (même HTTPS).
-
Proxy explicite : avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FQDN du proxy : adresse qui peut être utilisée pour accéder à la machine proxy.
-
Port proxy : numéro de port utilisé par le proxy pour écouter le trafic transmis par proxy.
-
Protocole proxy : en fonction de ce que prend en charge votre serveur proxy, choisissez l'un des protocoles suivants :
-
HTTP : consulte et contrôle toutes les demandes envoyées par le client.
-
HTTPS : fournit un canal vers le serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification : choisissez l'un des types d'authentification suivants :
-
Aucune. Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
-
Basique : utilisé par un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lorsqu'il fait une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
-
Digest —Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage au nom d'utilisateur et au mot de passe avant de les envoyer sur le réseau.
Disponible uniquement si vous sélectionnez HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds hybrides de sécurité des données et de proxy
Ce schéma montre un exemple de connexion entre le réseau Hybrid Data Security et un proxy. Pour les options de proxy d'inspection transparente et d'inspection explicite HTTPS, le même certificat racine doit être installé sur le proxy et sur les nœuds Hybrid Data Security.
Mode de résolution DNS externe bloqué (configurations de proxy explicites)
Lorsque vous enregistrez un nœud ou que vous vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex cloud. Dans les déploiements avec des configurations de proxy explicites qui n'autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloquée. Dans ce mode, l'enregistrement des nœuds et les autres tests de connectivité du proxy peuvent avoir lieu.
Exigences relatives à la sécurité des données hybrides multilocataires
Cisco WebexExigences en matière de licence
Pour déployer la sécurité des données hybride multilocataire :
-
Organisations de locataires : vous devez avoir un pack Pro pourCisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences relatives à Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation a peut-être besoin d'un abonnement payant pour Docker Desktop. Pour plus de détails, consultez le billet de blog de Docker, « Docker met à jour et étend ses abonnements aux produits ».
Les clients qui n'ont pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source tel que Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir l'outil Run HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences relatives au certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Exigence |
Détails |
|---|---|
| |
|
Le CN n'a pas besoin d'être joignable ni d'être un hôte en direct. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le CN ne doit pas contenir de * (caractère générique). Le CN est utilisé pour vérifier les nœuds hybrides de sécurité des données auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie à l'aide du domaine CN, et non d'un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, il n'est pas possible de changer le nom de domaine CN. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour valider les connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel qu'OpenSSL pour modifier le format de votre certificat. Vous devrez saisir le mot de passe pour lancer l'outil de configuration HDS. |
| Seuls les certificats RSA sont pris en charge. |
Le logiciel KMS n'impose pas l'utilisation des clés ni aucune contrainte d'utilisation étendue des clés. Certaines autorités de certification exigent que des contraintes étendues d'utilisation des clés soient appliquées à chaque certificat, comme l'authentification du serveur. Vous pouvez utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous allez configurer en tant que nœuds hybrides de sécurité des données dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
Hyperviseurs pris en charge :
-
VMware ESXi 7.0 ou 8.0.
- Logiciel d'infrastructure de virtualisation des fonctions réseau (NFVIS) Cisco Enterprise, version 26.2.1.
- Nutanix AOS 7.5.x avec Nutanix AHV 11.0.x.
-
-
Au moins 4 processeurs virtuels, 8 Go de mémoire principale, 30 Go d'espace disque local par serveur.
Exigences relatives aux serveurs de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, une fois installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Au moins 8 processeurs virtuels, 16 Go de mémoire principale, suffisamment d'espace sur le disque dur et surveillance pour éviter qu'il ne soit dépassé (2 To sont recommandés si vous voulez faire fonctionner la base de données pendant une longue période sans avoir à augmenter la capacité de stockage) |
Au moins 8 processeurs virtuels, 16 Go de mémoire principale, suffisamment d'espace sur le disque dur et surveillance pour éviter qu'il ne soit dépassé (2 To sont recommandés si vous voulez faire fonctionner la base de données pendant une longue période sans avoir à augmenter la capacité de stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour communiquer avec le serveur de base de données :
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC pour SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On (instances de cluster Always On Failover Cluster et groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de keystore sur Microsoft SQL Server, vous avez besoin de la configuration suivante dans votre environnement :
-
Les nœuds HDS, Active Directory l'infrastructure et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit disposer d'un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre Microsoft SQL Server en tant que nom principal de service (SPN) sur votre. Active Directory Voir Enregistrer un nom principal de service pour Kerberos Connections.
L'outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du keystore. Ils utilisent les informations de votre configuration ISO pour créer le SPN lorsqu'ils demandent un accès par authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Candidature |
Protocole |
Port |
Itinéraire depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds hybrides de sécurité des données |
TCP |
443 |
HTTPS et WSS sortants |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds Hybrid Data Security fonctionnent avec la traduction d'accès au réseau (NAT) ou sont protégés par un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds Hybrid Data Security, aucun port ne devrait être visible depuis Internet. Au sein de votre centre de données, les clients doivent accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22, à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à chaque région. Voici les animateurs de CI actuels :
|
Région |
URL des hôtes Common Identity |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Exigences relatives aux serveurs proxy
-
Nous soutenons officiellement les solutions proxy suivantes qui peuvent s'intégrer à vos nœuds Hybrid Data Security.
-
Proxy transparent : appliance de sécurité Web Cisco (WSA).
-
Proxy explicite : Squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions Websocket (wss :). Pour contourner ce problème, voir Configurer les proxies Squid pour la sécurité hybride des données.
-
-
Nous prenons en charge les combinaisons de types d'authentification suivantes pour les proxys explicites :
-
Pas d'authentification via HTTP ou HTTPS
-
Authentification de base par HTTP ou HTTPS
-
Authentification Digest via HTTPS uniquement
-
-
Pour un proxy d'inspection transparent ou un proxy explicite HTTPS, vous devez avoir une copie du certificat racine du proxy. Les instructions de déploiement de ce guide vous indiquent comment télécharger la copie sur les boutiques de confiance des nœuds Hybrid Data Security.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à être acheminé via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions aux sockets Web. Si ce problème se produit, contourner (et non inspecter) le trafic vers
wbx2.com etle problème.ciscospark.comrésoudra
Remplissez les prérequis pour la sécurité hybride des données
| 1 |
Assurez-vous que le HDS n'est pas activé dans Control Hub dans votre organisation et obtenez les informations d'identification d'un compte avec les droits d'administrateur et d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour Pro Pack pourCisco Webex Control Hub. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide dans cette procédure. Les organisations clientes ne devraient pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds hybrides de sécurité des données dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) situés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences relatives aux hôtes virtuels. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données clé pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être situé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production possède 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde devrait en comporter 3. |
| 6 |
Configurez un hôte Syslog pour collecter les journaux des nœuds du cluster. Rassemblez son adresse réseau et son port Syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte Syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le cryptage et le déchiffrement du contenu, le fait de ne pas maintenir un déploiement opérationnel entraînera une PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l'application Webex mettent leurs clés en cache. Une panne peut donc ne pas être immédiatement perceptible, mais elle se manifestera au fil du temps. Bien qu'il soit impossible de prévenir les pannes temporaires, elles peuvent être réparées. Cependant, la perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration se traduira par des données clients irrécupérables. Les opérateurs des nœuds Hybrid Data Security sont censés effectuer de fréquentes sauvegardes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu autorise la connectivité de vos nœuds Hybrid Data Security, comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker (https://www.docker.com) sur n'importe quelle machine locale équipée d'un système d'exploitation compatible (Microsoft Windows10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) à l'aide d'un navigateur Web accessible sur http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous aurez peut-être besoin d'une licence Docker Desktop. Consultez Docker Desktop Requirements pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy à Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Flux de tâches de déploiement de la sécurité des données hybride
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur local pour une utilisation ultérieure. |
| 2 |
Créer une image ISO de configuration pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, par exemple les paramètres réseau. La configuration des paramètres réseau lors du déploiement d'OVA n'est prise en charge que sur ESXi 7.0 et 8.0. Pour les déploiements NFVIS, voir Installer l'hôte HDS OVA sur NFVIS. Pour les déploiements de Nutanix, voir Installer le HDS Host OVA sur Nutanix |
| 4 |
Configurer la machine virtuelle hybride de sécurité des données Connectez-vous à la console de la machine virtuelle et définissez les informations de connexion. Configurez les paramètres réseau du nœud si vous ne les aviez pas configurés au moment du déploiement d' OVA. Pour les déploiements NFVIS, voir Configuration de la machine virtuelle hybride de sécurité des données sur NFVIS. Pour les déploiements de Nutanix, voir Créer la machine virtuelle hybride de sécurité des données sur Nutanix |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil de configuration HDS. Pour les déploiements NFVIS, voir Télécharger et monter l'ISO de configuration HDS. Pour les déploiements de Nutanix, voir Télécharger et monter l'ISO de configuration HDS |
| 6 |
Configurer le nœud HDS pour l'intégration d'un proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous allez utiliser pour le nœud et ajoutez le certificat de proxy au Trust Store si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle dans le Cisco Webex cloud en tant que nœud hybride de sécurité des données. |
| 8 |
Créez et enregistrez d'autres nœuds Terminez la configuration du cluster. |
| 9 |
Activez le HDS multitenant sur Partner Hub. Activez HDS et gérez les organisations de locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Pour cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous avez configurés en tant que nœuds hybrides de sécurité des données). Vous utiliserez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous au Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybrid, recherchez la carte Hybrid Data Security, puis cliquez sur Configurer. Il est essentiel de cliquer sur Configurer dans Partner Hub pour le processus de déploiement. Ne poursuivez pas l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource, puis sur Télécharger le fichier .OVA sur la carte d'installation et de configuration du logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à niveau de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le
téléchargement du fichier OVA commence automatiquement. Enregistrez le fichier sur un emplacement de votre
machine.
|
Créer une image ISO de configuration pour les hôtes HDS
Le processus de configuration de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, lancez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub doté de tous les droits d'administrateur.
Si vous n'avez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pendant les étapes 1 à 5 de la procédure ci-dessous. Voir l'outil Run HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale qui chiffre la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications à la configuration, comme suit :
-
Informations d'identification de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous envisagez de chiffrer les connexions aux bases de données, configurez votre déploiement de PostgreSQL ou SQL Server pour le protocole TLS.
| 1 |
Sur la ligne de commande de votre machine, entrez la commande appropriée à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : Cette étape efface les images précédentes de l'outil de configuration HDS. S'il n'y a aucune image précédente, cela renvoie un message d'erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connecter au registre d'images Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l'invite du mot de passe, entrez ce hash : | ||||||||||
| 4 |
Téléchargez la dernière image stable correspondant à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Une fois le pull terminé, entrez la commande appropriée à votre environnement :
Lorsque le conteneur fonctionne, vous voyez « Le serveur Express écoute sur le port 8080 ». | ||||||||||
| 6 |
L'outil de configuration ne permet pas de se connecter à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invitée, saisissez vos informations de connexion en tant qu'administrateur du Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. | ||||||||||
| 8 |
Sur la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page d'importation ISO, vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences de la section Exigences relatives aux certificats X.509.
| ||||||||||
| 11 |
Entrez l'adresse de la base de données et le compte permettant à HDS d'accéder à votre banque de données clés : | ||||||||||
| 12 |
Sélectionnez un mode de connexion à une base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et que vous cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L'outil vérifie également le signataire du certificat et le nom d'hôte, le cas échéant. En cas d'échec d'un test, l'outil affiche un message d'erreur décrivant le problème. Vous pouvez choisir d'ignorer l'erreur et de poursuivre la configuration. (En raison des différences de connectivité, les nœuds HDS seront peut-être en mesure d'établir la connexion TLS même si la machine HDS Setup Tool ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page System Logs, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans les Paramètres avancés. En général, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les anciens fichiers ISO. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un endroit facile à trouver. | ||||||||||
| 17 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de cryptage principale pour le contenu de la base de données. Restreignez l'accès aux seuls administrateurs d'Hybrid Data Security qui doivent apporter des modifications à la configuration. | ||||||||||
| 18 |
Pour arrêter l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer d'autres nœuds à des fins de restauration ou pour modifier la configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il n'est pas possible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous n'avons jamais de copie de cette clé et nous ne pouvons pas nous empêcher si vous la perdez.
Installez le HDS Host OVA
Si vous déployez HDS sur un hyperviseur NFVIS, consultez la section Install the HDS Host OVA on NFVIS.
Si vous déployez HDS sur un hyperviseur Nutanix, consultez la section Install the HDS Host OVA on Nutanix.
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez Fichier > Déployer un modèle OVF. |
| 3 |
Dans l'assistant, indiquez l'emplacement du fichier OVA que vous avez téléchargé plus tôt, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionnez un nom et un dossier, saisissez le nom de la machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez l'emplacement où le nœud de machine virtuelle peut se déployer, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionnez une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est en cours. Une fois terminé, les détails du modèle apparaissent. |
| 6 |
Vérifiez les informations du modèle, puis cliquez sur Suivant. |
| 7 |
Si on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage des machines virtuelles. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la machine virtuelle. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configuration de la machine virtuelle Hybrid Data Security pour configurer les paramètres depuis la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. L'option n'était peut-être pas disponible dans les versions précédentes. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prête à vous connecter à la console et à configurer le nœud. Conseils de dépannage Il se peut que vous ayez un délai de quelques minutes avant que les conteneurs de nœuds n'arrivent. Un message de pare-feu Bridge apparaît sur la console lors du premier démarrage, pendant lequel vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle hybride de sécurité des données
Suivez cette procédure pour vous connecter à la console virtuelle du nœud Hybrid Data Security pour la première fois et définir les informations de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les aviez pas configurés au moment du déploiement d'OVA.
Si vous déployez HDS sur un hyperviseur NFVIS, consultez la section Configurer la machine virtuelle hybride de sécurité des données sur NFVIS.
Si vous déployez HDS sur un hyperviseur Nutanix, consultez la section Créer une machine virtuelle hybride de sécurité des données sur Nutanix.
| 1 |
Dans le client VMware vSphere, sélectionnez la machine virtuelle de votre nœud Hybrid Data Security et sélectionnez l'onglet Console. La machine virtuelle démarre et une invite de connexion s'affiche. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez l'identifiant et le mot de passe par défaut suivants pour vous connecter et modifier vos informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Install the HDS Host OVA, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Modifiez le nom d'hôte, le domaine ou les serveurs NTP, si nécessaire, pour correspondre à votre politique réseau. Vous n'avez pas besoin de définir le domaine pour qu'il corresponde à celui que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle pour que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Si vous déployez HDS sur un hyperviseur NFVIS, consultez la section ISO sur le téléchargement et le montage de la configuration HDS.
Si vous déployez HDS sur un hyperviseur Nutanix, consultez la section ISO sur le téléchargement et le montage de la configuration HDS.
Avant de commencer
Comme le fichier ISO contient la clé principale, il ne doit être exposé que sur la base des « besoins », pour que les machines virtuelles hybrides de sécurité des données et les administrateurs qui pourraient avoir besoin d'apporter des modifications puissent y accéder. Assurez-vous que seuls ces administrateurs peuvent accéder à la banque de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur : |
| 2 |
Montez le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l'intégration d'un proxy
Si l'environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à Hybrid Data Security. Si vous choisissez un proxy d'inspection transparent ou un proxy explicite HTTPS, vous pouvez utiliser l'interface du nœud pour télécharger et installer le certificat racine. Vous pouvez également vérifier la connexion proxy depuis l'interface et résoudre tout problème potentiel.
Avant de commencer
-
Consultez la section Proxy Support pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l'URL de configuration du nœud HDS |
| 2 |
Accédez à Trust Store & Proxy, puis choisissez une option :
Suivez les étapes suivantes pour obtenir un proxy d'inspection transparent, un proxy HTTP explicite avec authentification de base ou un proxy explicite HTTPS. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d'entité finale, puis accédez à la page Choisissez le certificat racine pour le proxy. Le certificat est chargé mais pas encore installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche en chevron à côté du nom de l'émetteur du certificat pour obtenir plus de détails ou cliquez sur Supprimer si vous avez fait une erreur et souhaitez télécharger à nouveau le fichier. |
| 4 |
Cliquez sur Vérifier la connexion au proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous verrez un message d'erreur indiquant la raison et la manière dont vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution du DNS externe a échoué, c'est que le nœud n'a pas pu atteindre le serveur DNS. Cette condition est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration, et le nœud fonctionnera en mode Résolution DNS externe bloquée. Si vous pensez qu'il s'agit d'une erreur, procédez comme suit, puis consultez Désactiver le mode de résolution du DNS externe bloqué. |
| 5 |
Une fois le test de connexion réussi, pour un proxy explicite défini sur https uniquement, activez l'option Acheminer toutes les requêtes https du port 443/444 depuis ce nœud via le proxy explicite. Ce réglage prend 15 secondes pour prendre effet. |
| 6 |
Cliquez sur Installer tous les certificats dans le Trust Store (apparaît pour un proxy explicite HTTPS ou un proxy d'inspection transparent) ou sur Redémarrer (apparaît pour un proxy HTTP explicite), lisez l'invite, puis cliquez sur Installer si vous êtes prête. Le nœud redémarre en quelques minutes. |
| 7 |
Une fois le nœud redémarré, reconnectez-vous si nécessaire, puis ouvrez la page Aperçu pour vérifier les contrôles de connectivité et vous assurer qu'ils sont tous en vert. Le contrôle de connexion proxy ne teste qu'un sous-domaine de webex.com. En cas de problèmes de connectivité, le problème courant est que certains domaines cloud répertoriés dans les instructions d'installation sont bloqués par le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier nœud, vous créez un cluster auquel il est attribué. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Une fois que vous commencez à enregistrer un nœud, vous devez le terminer dans les 60 minutes, sinon vous devez recommencer à zéro.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez la carte Hybrid Data Security et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de Créer une nouvelle carte de cluster, saisissez le nom du cluster auquel vous souhaitez attribuer votre nœud Hybrid Data Security. Nous vous recommandons de nommer un cluster en fonction de la position géographique de ses nœuds. Exemples : « San Francisco », « New York » ou « Dallas » |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine complet (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés lors de la configuration de la machine virtuelle hybride de sécurité des données. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur le Webex.
|
| 7 |
Cliquez sur Accéder au nœud. Au bout de quelques instants, vous êtes redirigée vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests sont réussis, la page Autoriser l'accès au nœud hybride de sécurité des données apparaît. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud hybride de sécurité des données, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page de sécurité hybride des données du Partner Hub. Sur la page Hybrid Data Security, le nouveau cluster contenant le nœud que vous avez enregistré est affiché dans l'onglet Ressources. Le nœud téléchargera automatiquement les derniers logiciels depuis le cloud.
|
Créez et enregistrez d'autres nœuds
Avant de commencer
-
Une fois que vous commencez à enregistrer un nœud, vous devez le terminer dans les 60 minutes, sinon vous devez recommencer à zéro.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA en répétant les étapes décrites dans Installer l'OVA HDS Host. |
| 2 |
Configurez la configuration initiale de la nouvelle machine virtuelle en répétant les étapes décrites dans Configuration de la machine virtuelle hybride de sécurité des données. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes décrites dans Télécharger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrez le nœud. |
Que faire ensuite
Activez le HDS multitenant sur Partner Hub
Cette tâche permet à tous les utilisateurs des organisations clientes de commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé de configurer votre cluster HDS multitenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer le HDS sur la carte de statut du HDS. |
Ajouter des organisations de locataires dans Partner Hub
Dans le cadre de cette tâche, vous assignez les organisations clientes à votre cluster hybride de sécurité des données.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Tout afficher. |
| 4 |
Accédez à l'onglet Clients assignés. L'onglet Clients assignés ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre cluster. |
| 9 |
Cliquez sur OK en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez les clés principales des clients (CMK) à l'aide de l'outil HDS Setup
Avant de commencer
Assignez les clients comme indiqué dans la section Ajouter des organisations locataires dans Partner Hub. Exécutez l'outil HDS Setup pour terminer le processus de configuration pour les organisations clientes récemment ajoutées.
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, lancez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale qui chiffre la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications à la configuration, comme suit :
-
Informations d'identification de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous envisagez de chiffrer les connexions aux bases de données, configurez votre déploiement de PostgreSQL ou SQL Server pour le protocole TLS.
Le processus de configuration de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
Sur la ligne de commande de votre machine, entrez la commande appropriée à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : Cette étape efface les images précédentes de l'outil de configuration HDS. S'il n'y a aucune image précédente, cela renvoie un message d'erreur que vous pouvez ignorer. |
| 2 |
Pour vous connecter au registre d'images Docker, saisissez ce qui suit : |
| 3 |
À l'invite du mot de passe, entrez ce hash : |
| 4 |
Téléchargez la dernière image stable correspondant à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : |
| 5 |
Une fois le pull terminé, entrez la commande appropriée à votre environnement :
Lorsque le conteneur fonctionne, vous voyez « Le serveur Express écoute sur le port 8080 ». |
| 6 |
L'outil de configuration ne permet pas de se connecter à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invitée, saisissez vos informations de connexion en tant qu'administrateur du Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. |
| 8 |
Sur la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page d'importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour gérer les CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK des locataires, où vous trouverez les trois méthodes suivantes pour gérer les CMK des locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de la gestion des CMK en attente à la gestion des CMK. |
| 13 |
Si la création de la CMK échoue, un message d'erreur s'affichera. |
Supprimer les organisations de locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas utiliser HDS pour leurs besoins de cryptage et perdront tous les espaces existants. Avant de supprimer des organisations clientes, contactez votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Tout afficher. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients assignés. |
| 5 |
Dans la liste des organisations clientes qui s'affiche, cliquez sur |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme indiqué dans Révoquer les CMK des locataires retirés du HDS.
Révoquer les CMK des locataires renvoyés du HDS.
Avant de commencer
Supprimer des clients comme indiqué dans Supprimer les organisations de locataires. Exécutez l'outil HDS Setup pour terminer le processus de suppression pour les organisations clientes qui ont été supprimées.
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, lancez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale qui chiffre la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications à la configuration, comme suit :
-
Informations d'identification de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous envisagez de chiffrer les connexions aux bases de données, configurez votre déploiement de PostgreSQL ou SQL Server pour le protocole TLS.
Le processus de configuration de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
Sur la ligne de commande de votre machine, entrez la commande appropriée à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : Cette étape efface les images précédentes de l'outil de configuration HDS. S'il n'y a aucune image précédente, cela renvoie un message d'erreur que vous pouvez ignorer. |
| 2 |
Pour vous connecter au registre d'images Docker, saisissez ce qui suit : |
| 3 |
À l'invite du mot de passe, entrez ce hash : |
| 4 |
Téléchargez la dernière image stable correspondant à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : |
| 5 |
Une fois le pull terminé, entrez la commande appropriée à votre environnement :
Lorsque le conteneur fonctionne, vous voyez « Le serveur Express écoute sur le port 8080 ». |
| 6 |
L'outil de configuration ne permet pas de se connecter à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invitée, saisissez vos informations de connexion en tant qu'administrateur du Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. |
| 8 |
Sur la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page d'importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK des locataires, où vous trouverez les trois méthodes suivantes pour gérer les CMK des locataires.
|
| 12 |
Une fois la révocation de la CMK réussie, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Testez votre déploiement hybride de sécurité des données
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multilocataire.
-
Assurez-vous d'avoir accès au Syslog pour vérifier que les demandes clés sont transmises à votre déploiement de sécurité hybride multitenant des données.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de Hybrid Data Security, le contenu des espaces créés par les utilisateurs n'est plus accessible une fois que les copies des clés de cryptage mises en cache par le client sont remplacées. |
| 2 |
Envoyez des messages au nouvel espace. |
| 3 |
Consultez la sortie Syslog pour vérifier que les demandes de clé sont transmises à votre déploiement Hybrid Data Security. Si l'utilisateur d'une organisation cliente récemment ajoutée effectue une action, l'identifiant de l'organisation apparaîtra dans les journaux, et il pourra être utilisé pour vérifier que l'organisation utilise le HDS multi-tenant. Vérifiez la valeur de |
Interpréter les journaux HDS et comprendre les étiquettes des agents
Les journaux HDS fournissent des informations détaillées concernant les demandes KMS. Ces journaux incluent différents champs qui permettent d'identifier la nature de la demande et l'identité associée. Il est essentiel de comprendre ces domaines pour interpréter correctement les activités et garantir la fiabilité des opérations internes.
Terminologie
Pour des raisons de clarté lors de la lecture des journaux HDS, il est important de comprendre les termes suivants :
| Mandat | Définition |
|---|---|
| Compte de service | Une identité de service qui permet aux services Webex d'effectuer les actions autorisées en toute sécurité. |
| Agent | Identité d'entité de service ou de compte de service utilisée pour effectuer des opérations automatisées dans l'environnement HDS. |
| Label d'agent | Une balise incluse dans les journaux HDS qui identifie la source et le type spécifiques d'une demande entrante, permettant ainsi un audit efficace du contrôle d'accès. |
| Accès délégué | Un compte de service autorisé qui fait une demande pour un utilisateur en particulier, dans les limites des autorisations de cet utilisateur. Apparaît sous la forme d'une demande de délégation : agent -> identifiant utilisateur. |
Dans ce contexte, le terme « agent » fait spécifiquement référence aux identités des services HDS. Cela n'a rien à voir avec les agents alimentés par l'IA utilisés dans les autres fonctionnalités de Webex.
Une demande n'est traitée que lorsqu'elle provient de :
- un utilisateur authentifié de votre organisation, ou
- un compte de service enregistré et autorisé par votre organisation.
Vue d'ensemble des champs de journalisation
| Terrain | Ce que cela représente |
|---|---|
| Horodatage | Date et heure de l'opération. |
| kms.data.method | L'opération KMS a été effectuée (par exemple, récupérer). |
| kms.data.org/ld | Identifiant de l'organisation. |
| KMS.Data.HttpUserAgent | Le client ou le service qui fait la demande. |
| WEBEX_TRACKINGID | Identifiant de suivi unique pour la demande. |
| kms.data.urihost/kms.data.uri | L'hôte et la ressource visés par la demande. |
| kms.data.userld | L'identité qui exécute la demande, y compris le label de l'agent. |
| kms.response.success | Indique si la demande a abouti. |
Types de demandes - Référence rapide
| Marquer dans le journal | Label d'agent | Ce que cela représente | Opérations typiques |
|---|---|---|---|
| Type d'utilisateur : UserAgent | Agent utilisateur | Un compte de service fiable lié à un flux de travail utilisateur, limité à votre organisation. | Créer/gérer des clés pour un processus utilisateur. |
| o-agent <id>-> identifiant utilisateur <id> | Agent de l'organisation | Un compte de service sécurisé au niveau de l'organisation utilisant un accès délégué. | Extraction des données Webex par le responsable de la conformité, intégrations de calendriers. |
| c-agent <id>-> identifiant utilisateur <id> | Agent du cloud | Un service Webex qui effectue une demande déléguée pour un utilisateur en particulier. | Analyse antivirus, aperçu du contenu, transcriptions. |
| agent C <id> | Agent du cloud | Un service Webex effectuant une demande déléguée. | Clés ECDHE/de session. |
| UUID de l'utilisateur final | - | L'utilisateur final authentifié qui interagit avec HDS. | Un utilisateur récupère sa propre clé. |
Types de demandes : en détail
Les étiquettes des agents classent la source de la demande et aident à déterminer les contrôles d'accès appropriés. Les exemples suivants montrent les différents types de demandes et les étiquettes d'agent qui y sont associées.
-
Agent utilisateur (UserAgent) :
Il s'agit de comptes de service Webex fiables associés à des flux de travail utilisateurs spécifiques et qui concernent l'organisation cliente. Ils sont généralement utilisés lorsqu'un service crée et gère des clés pour le compte d'un flux de travail utilisateur.
Exemple de journal :
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>Indicateur clé : L'exemple de journal montre qu'un agent utilisateur (
UserAgent) effectue des opérations de collecte de ressources pour un service Webex. -
Agent de l'organisation (co-agent) :
Ces comptes de service Webex fiables sont autorisés à effectuer des opérations déléguées pour le compte des utilisateurs de HDS. Limités à l'organisation cliente, ces comptes exécutent des opérations au niveau de l'organisation. Cette fonctionnalité prend en charge plusieurs fonctionnalités, telles que la possibilité pour les responsables de la conformité de rechercher et d'extraire les données de communication Webex, garantissant ainsi la conformité de l'organisation avec les normes réglementaires, de sécurité et de confidentialité des données.
Exemple de journal :
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>Indicateur clé : L'exemple de journal montre qu'un agent de l'organisation (
o-agent 9 [~] c) récupère une clé pour le compte de l'utilisateur (4 [~] b) pour un service Webex. - Cloud Agent (agent principal) :
Ces comptes de service Webex fiables sont autorisés à effectuer des opérations sur HDS via un accès délégué pour le compte d'un utilisateur. Ils prennent en charge des fonctionnalités essentielles, telles que les enregistrements après les réunions, les transcriptions, la détection des programmes malveillants et les aperçus de fichiers, qui améliorent l'expérience utilisateur globale.
Bien que les agents du cloud puissent être désactivés en modifiant l'ISO, les clients doivent savoir que cela entraînera la perte de fonctionnalités, telles que les enregistrements après les réunions, les transcriptions, les aperçus de fichiers et l'analyse automatique des programmes malveillants dans Webex App Spaces. Pour plus d'informations, consultez la section Désactiver les agents cloud.
Exemple de journal :
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>Indicateur clé : L'exemple de journal montre qu'un agent cloud (
c-agent b [~] c) récupère une clé de contenu pour le compte de l'utilisateur (9 [~] c). -
Interaction directe avec l'utilisateur final :
Un utilisateur authentifié qui interagit directement avec HDS.
Exemple de journal :
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=trueIndicateur clé : L'exemple de journal montre qu'un utilisateur final (
c [~] f) récupère une clé et interagit directement avec HDS.
Surveillez la santé de Hybrid Data Security
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu de gauche de l'écran. |
| 2 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Modifier les paramètres. La page des paramètres de sécurité des données hybrides apparaît.
|
| 3 |
Dans la section Notifications par e-mail, saisissez une ou plusieurs adresses e-mail séparées par des virgules, puis appuyez sur Entrée. |
Gérer le déploiement du HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de Hybrid Data Security.
Définir le calendrier de mise à niveau du cluster
Pour définir le calendrier des mises à niveau :
| 1 |
Connectez-vous au Partner Hub. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Configurer |
| 4 |
Sur la page Ressources sur la sécurité hybride des données, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page des paramètres du cluster, sous Calendrier des mises à niveau, sélectionnez l'heure et le fuseau horaire pour le calendrier de mise à niveau. Remarque : sous le fuseau horaire, la date et l'heure de la prochaine mise à niveau disponible sont affichées. Vous pouvez reporter le surclassement au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Modifier la configuration des nœuds
-
Modifier les certificats X.509 pour cause d'expiration ou pour d'autres raisons.
Nous ne sommes pas favorables à la modification du nom de domaine CN d'un certificat. Le domaine doit correspondre au domaine d'origine utilisé pour enregistrer le cluster.
-
Mettre à jour les paramètres de la base de données pour passer à une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne prenons pas en charge la migration de données de PostgreSQL vers Microsoft SQL Server, ou l'inverse. Pour changer d'environnement de base de données, lancez un nouveau déploiement d'Hybrid Data Security.
-
Création d'une nouvelle configuration pour préparer un nouveau centre de données.
De plus, pour des raisons de sécurité, Hybrid Data Security utilise les mots de passe des comptes de service qui ont une durée de vie de neuf mois. Une fois que l'outil HDS Setup a généré ces mots de passe, vous les déployez sur chacun de vos nœuds HDS dans le fichier de configuration ISO. Lorsque les mots de passe de votre organisation arrivent à expiration, l'équipe Webex vous demande de réinitialiser le mot de passe du compte de votre machine. (L'e-mail contient le texte « Utilisez l'API du compte de la machine pour mettre à jour le mot de passe. ») Si vos mots de passe n'ont pas encore expiré, l'outil vous propose deux options :
-
Réinitialisation logicielle : l'ancien et le nouveau mot de passe fonctionnent tous deux pendant 10 jours au maximum. Profitez de cette période pour remplacer progressivement le fichier ISO sur les nœuds.
-
Réinitialisation matérielle : les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans avoir été réinitialisés, cela aura un impact sur votre service HDS, qui nécessitera une réinitialisation matérielle immédiate et le remplacement du fichier ISO sur tous les nœuds.
Suivez cette procédure pour générer un nouveau fichier ISO de configuration et l'appliquer à votre cluster.
Avant de commencer
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, lancez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub avec les droits d'administrateur complets du partenaire.
Si vous n'avez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir l'outil Run HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker en 1.e. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous avez besoin d'une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L'ISO contient la clé principale qui crypte la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l'ISO lorsque vous apportez des modifications à la configuration, y compris les informations d'identification de la base de données, les mises à jour des certificats ou les modifications de la politique d'autorisation.
| 1 |
À l'aide de Docker sur une machine locale, lancez l'outil de configuration HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle machine virtuelle pour le nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer d'autres nœuds. |
| 3 |
Pour les nœuds HDS existants qui exécutent l'ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à tour de rôle, en mettant à jour chaque nœud avant de désactiver le suivant :
Pour les déploiements VMware :
Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
| 4 |
Répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou que vous vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex cloud. Si le serveur DNS du nœud ne parvient pas à résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution du DNS externe bloqué.
Si vos nœuds sont capables de résoudre des noms DNS publics via des serveurs DNS internes, vous pouvez désactiver ce mode en relançant le test de connexion proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud Hybrid Data Security (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'identification d'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Accédez à la vue d'ensemble (la page par défaut). Lorsqu'elle est activée, la résolution DNS externe bloquée est réglée sur Oui. |
| 3 |
Accédez à la page Trust Store & Proxy. |
| 4 |
Cliquez sur Vérifier la connexion au proxy. Si vous voyez un message indiquant que la résolution du DNS externe a échoué, que le nœud n'a pas pu atteindre le serveur DNS et qu'il restera dans ce mode. Sinon, une fois que vous aurez redémarré le nœud et que vous serez retournée à la page d'aperçu, la résolution DNS externe bloquée devrait être réglée sur Non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez l'interface de gestion de l'hyperviseur lors de votre déploiement pour localiser et éteindre la machine virtuelle HDS. |
| 2 |
Supprimer le nœud : |
| 3 |
À l'aide de l'interface de gestion de l'hyperviseur lors de votre déploiement, localisez et supprimez la machine virtuelle HDS. Si vous ne supprimez pas la machine virtuelle, pensez à démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Datacenter de secours pour la reprise après sinistre
Pendant le déploiement, vous avez mis en place un centre de données de secours sécurisé. En cas de sinistre dans un centre de données, vous pouvez faire échouer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées entre elles, ce qui réduira le temps nécessaire au basculement.
Les nœuds Hybrid Data Security actifs doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Configurer un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours devrait refléter l'environnement de production des machines virtuelles et une base de données PostgreSQL ou Microsoft SQL Server de sauvegarde. Par exemple, si la production possède 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde devrait en comporter 3. (Voir Standby Data Center for Disaster Recovery pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds de cluster actifs et passifs.
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes indiquées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO d'origine du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page des paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais il ne gérera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de cryptage principale pour le contenu de la base de données. Restreignez l'accès aux seuls administrateurs d'Hybrid Data Security qui doivent apporter des modifications à la configuration. |
| 6 |
Montez le fichier ISO de configuration : Avant de monter la nouvelle configuration ISO :
Pour les déploiements VMware : Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
| 7 |
Allumez le nœud HDS et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 8 |
Répétez le processus pour chaque nœud du centre de données de secours. Consultez les syslogs pour vérifier que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les Syslogs. |
Que faire ensuite
Après avoir configuré le mode passif dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans le configurer en mode passif et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans mode passif configuré peut faciliter un processus de basculement rapide lors de la reprise après sinistre. Consultez Disaster Recovery using Standby Data Center pour la procédure de basculement détaillée.
Reprise après sinistre à l'aide du centre de données de secours
Le service le plus essentiel fourni par votre cluster Hybrid Data Security est la création et le stockage de clés utilisées pour crypter les messages et autres contenus stockés sur le cloud Webex. Pour chaque utilisateur de l'organisation affecté à Hybrid Data Security, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple aux membres d'un espace de conversation.
Comme le cluster remplit la fonction essentielle qui consiste à fournir ces clés, il est impératif qu'il continue de fonctionner et que des sauvegardes appropriées soient effectuées. La perte de la base de données Hybrid Data Security ou de l'ISO de configuration utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu client. Les pratiques suivantes sont obligatoires pour éviter de telles pertes :
Si un sinistre rend indisponible le déploiement du HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes indiquées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page des paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de cryptage principale pour le contenu de la base de données. Restreignez l'accès aux seuls administrateurs d'Hybrid Data Security qui doivent apporter des modifications à la configuration. |
| 6 |
Montez le fichier ISO de configuration : Avant de monter la nouvelle configuration ISO :
Pour les déploiements VMware : Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
| 7 |
Allumez le nœud HDS et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 8 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez la sortie Syslog pour vérifier que les nœuds du centre de données de secours ne sont pas en mode passif. « KMS configuré en mode passif » ne devrait pas apparaître dans les syslogs. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration du HDS
La configuration HDS standard fonctionne avec l'ISO monté. Mais certains clients préfèrent ne pas laisser les fichiers ISO montés en continu. Vous pourrez démonter le fichier ISO une fois que tous les nœuds HDS auront adopté la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour modifier la configuration. Lorsque vous créez une nouvelle ISO ou que vous mettez à jour une ISO via l'outil de configuration, vous devez monter l'ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou une version ultérieure.
|
Détachez le fichier ISO de configuration.
Pour les déploiements VMware :
Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
Afficher les alertes et résoudre les problèmes
Un déploiement hybride de sécurité des données est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles ou si le cluster fonctionne si lentement que les demandes expirent. Si les utilisateurs n'arrivent pas à accéder à votre cluster Hybrid Data Security, ils présentent les symptômes suivants :
-
Impossible de créer de nouveaux espaces (impossible de créer de nouvelles clés)
-
Les messages et les titres des espaces ne sont pas déchiffrés pour :
-
Nouveaux utilisateurs ajoutés à un espace (impossible de récupérer les clés)
-
Utilisateurs existants dans un espace utilisant un nouveau client (impossible de récupérer les clés)
-
-
Les utilisateurs existants d'un espace continueront à fonctionner correctement tant que leurs clients disposeront d'un cache contenant les clés de cryptage
Il est important que vous surveilliez correctement votre cluster Hybrid Data Security et que vous répondiez rapidement à toutes les alertes afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de Hybrid Data Security, Partner Hub envoie des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse e-mail configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez s'il y a des erreurs dans la base de données ou des problèmes de réseau local. |
|
Échec de connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les bonnes informations d'identification du compte de service ont été utilisées lors de la configuration des nœuds. |
|
Échec d'accès au service cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex, comme indiqué dans Exigences de connectivité externe. |
|
Renouvellement de l'inscription au service cloud. |
L'inscription aux services cloud a été supprimée. Le renouvellement de l'inscription est en cours. |
|
L'inscription au service cloud a été supprimée. |
L'inscription aux services cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez le HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation de service configuré. La cause la plus probable est que le CN du certificat a été récemment modifié et qu'il est désormais différent de celui utilisé lors de la configuration initiale. |
|
Impossible de s'authentifier auprès des services cloud. |
Vérifiez l'exactitude et l'éventuelle expiration des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de keystore local. |
Vérifiez l'intégrité et l'exactitude du mot de passe dans le fichier keystore local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat de serveur et confirmez qu'il a été émis par un organisme de confianceCertificate Authority. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès du réseau local aux services cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration du montage ISO sur Virtual Host. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées |
Configuration complète en créant des CMK pour les organisations de locataires récemment ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées |
Terminez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Résoudre les problèmes liés à la sécurité hybride des données
| 1 |
Connectez-vous au Partner Hub. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour détecter les éventuelles alertes et corriger les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Consultez la sortie du serveur Syslog pour connaître l'activité liée au déploiement d'Hybrid Data Security. Filtrez en fonction de mots tels que « Avertissement » et « Erreur » pour vous aider à résoudre les problèmes. |
| 6 |
Contactez le support Cisco. |
API pour développeurs HDS
Les API HDS Developer permettent de récupérer des données d'analyse et de surveillance, ainsi que de résoudre les problèmes liés à vos déploiements HDS via le portail Webex pour les développeurs. Les API sont disponibles sur https://developer.webex.com/messaging/docs/api/v1/hds.
Problèmes connus liés à la sécurité des données hybrides
-
Si vous fermez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en fermant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du keystore, les utilisateurs de l'application Webex des organisations clientes ne peuvent plus utiliser les espaces de leur liste de personnes créée à l'aide des clés de votre KMS. Nous n'avons pas de solution ni de correctif à ce problème pour le moment et vous conseillons vivement de ne pas fermer vos services HDS une fois qu'ils gèrent des comptes utilisateurs actifs.
-
Un client qui possède déjà une connexion ECDH à un KMS maintient cette connexion pendant un certain temps (probablement une heure).
Déployez et configurez HDS sur NFVIS
Suivez les procédures ci-dessous pour déployer HDS sur un hyperviseur NFVIS. Le processus inclut l'installation du HDS OVA, la configuration de la machine virtuelle, le montage de l'ISO de configuration et la vérification du déploiement.
Installez le HDS Host OVA sur NFVIS
Avant de commencer
- Répondez aux prérequis en matière de sécurité hybride des données et téléchargez la dernière version de HDS OVA.
Renommez le fichier au format<DD-MMM-YYYY>hds- .ova pour le suivi ; par exemple, hds-26-aug-2026.ova. - Créez l'ISO de configuration HDS et stockez-la en toute sécurité. L'ISO contient la clé de cryptage principale.
- Collectez l'adresse IP statique, le masque de sous-réseau, la passerelle, le serveur DNS, le serveur NTP et le nom du réseau NFVIS du nœud.
- Vérifiez que vous disposez d'un accès administrateur NFVIS et que vous disposez d'une capacité suffisante pour allouer au moins 4 vCPU, 8 Go de mémoire et 30 Go de stockage par nœud HDS.
| 1 |
Connectez-vous à l'interface NFVIS et accédez à Configuration > Machine virtuelle > Images > Référentiel d'images. |
| 2 |
Choisissez l'option LOCAL et chargez votre fichier HDS OVA renommé (par exemple, hds-26-aug-2026.ova). |
| 3 |
Définissez le type de charge de travail de la machine virtuelle sur Appel et le type de machine virtuelle sur ECP/VIDEO MESH, puis sélectionnez Télécharger le fichier. |
| 4 |
Suivez la progression du téléchargement jusqu'à la fin. |
| 5 |
Vérifiez que l'OVA chargé est marqué comme actif et que le NFVIS a créé avec succès le profil OVA personnalisé associé. |
Configurer la machine virtuelle Hybrid Data Security sur NFVIS
| 1 |
Accédez à Configuration > Déployer et sélectionnez ECP/VIDEO MESH dans le menu Select VM. |
| 2 |
Entrez un nom de machine virtuelle unique, sélectionnez l'image HDS précédemment téléchargée et choisissez le profil OVA personnalisé correspondant dans la section Détails du déploiement. |
| 3 |
Sélectionnez DÉPLOYER et attendez la notification de déploiement réussie. |
| 4 |
Accédez à Configuration > Machine virtuelle > Gérer pour vérifier que la nouvelle machine virtuelle HDS est active. |
| 5 |
Retournez à Configuration > Déployer, sélectionnez la machine virtuelle HDS et utilisez la liste déroulante des interfaces réseau pour la connecter au réseau WAN requis. |
| 6 |
Sélectionnez DEPLOY pour appliquer les modifications de configuration réseau. |
Téléchargez et montez l'ISO de configuration HDS
| 1 |
Assurez-vous que le fichier ISO de configuration HDS est chargé dans le référentiel d'images via Configuration > Machine virtuelle > Images > Référentiel d'images avant de continuer. |
| 2 |
Ouvrez le terminal pour la machine virtuelle HDS via Configuration > Machine virtuelle > Gérer et effectuez la connexion initiale à l'aide des informations d'identification par défaut. Nom d'utilisateur : admin
Mot de passe : ciscosystems
|
| 3 |
Modifiez les informations d'identification de l'administrateur lorsque vous y êtes invitée. |
| 4 |
Configurez l'adresse IP statique, le masque de sous-réseau, la passerelle, les paramètres DNS et NTP du nœud à l'aide de l'option Modifier la configuration. |
| 5 |
Arrêtez la machine virtuelle HDS pour faciliter le montage. |
| 6 |
Ouvrez le menu d'action de la machine virtuelle, sélectionnez le CD-ROM, puis choisissez l'ISO de configuration du HDS pour le connecter à la machine virtuelle. |
| 7 |
Allumez la machine virtuelle et vérifiez qu'elle démarre correctement avec la configuration ISO montée. |
Que faire ensuite
Si nécessaire, passez à Configurer le nœud pour l'intégration du proxy, puis enregistrez le premier nœud du cluster.
Déployez et configurez HDS sur Nutanix
Suivez les procédures ci-dessous pour déployer HDS sur un hyperviseur Nutanix. Le processus inclut l'installation du HDS OVA, la configuration de la machine virtuelle, le montage de l'ISO de configuration et la vérification du déploiement.
Installez le HDS Host OVA sur Nutanix
Suivez cette procédure pour importer le fichier HDS OVA dans Nutanix.
| 1 |
Téléchargez la dernière version de HDS OVA. |
| 2 |
Dans Prism Central, accédez à Infrastructure > Compute > OVA. |
| 3 |
Sélectionnez Télécharger OVA. |
| 4 |
Choisissez la source OVA et sélectionnez le cluster cible. |
| 5 |
Donnez un nom unique et reconnaissable à l'OVA téléchargé. Incluez la version ou la date de mise en ligne afin que les administrateurs puissent la distinguer des anciennes versions d'OVA. |
| 6 |
Terminez le téléchargement. |
| 7 |
Dans la liste OVA, vérifiez que le format de disque est affiché en tant que VMDK. |
Créez la machine virtuelle hybride de sécurité des données sur Nutanix
Suivez cette procédure pour créer la machine virtuelle HDS.
| 1 |
Dans Prism Central, accédez à Infrastructure > Compute > OVA. |
| 2 |
Sélectionnez l'OVA HDS téléchargé avec succès. |
| 3 |
Sélectionnez Déployer en tant que machine virtuelle. |
| 4 |
Entrez un nom de machine virtuelle unique et reconnaissable et sélectionnez le cluster cible. |
| 5 |
Vérifiez que l'OVA a renseigné les propriétés de machine virtuelle suivantes :
|
| 6 |
Cliquez sur Suivant. L'assistant Ressources s'ouvre. |
| 7 |
Dans le tableau Ressources > Disques, vérifiez que le disque connecté a une taille de 30 Go. |
| 8 |
Connectez le sous-réseau ou le VLAN approprié à l'aide de l'option Attach to Subnet et réglez l'état de la connexion réseau sur Connecté. Si l'assistant contient une entrée réseau vide ou par défaut indiquant Aucun réseau trouvé pour le réseau des machines virtuelles, supprimez cette entrée. Une entrée non valide peut empêcher l'assistant de continuer même une fois que le bon sous-réseau a été connecté. |
| 9 |
Sélectionnez UEFI comme mode BIOS et cliquez sur Suivant. L'assistant de gestion s'ouvre. |
| 10 |
Laissez les catégories vides, sauf si l'organisation l'exige. |
| 11 |
Sélectionnez le fuseau horaire approprié. |
| 12 |
Sélectionnez Aucune personnalisation sur la carte de personnalisation des invités et cliquez sur Suivant. |
| 13 |
Passez en revue les paramètres et sélectionnez Créer une machine virtuelle. |
Téléchargez et montez l'ISO de configuration HDS
| 1 |
Dans Prism Central, allez sur Infrastructure > Compute > VMs. |
| 2 |
Sélectionnez la machine virtuelle HDS déployée. Dans l'onglet Résumé, sélectionnez Power Operations > Power On. Attendez quelques minutes que la machine virtuelle démarre. |
| 3 |
Cliquez sur Lancer la console. Effectuez la connexion initiale à l'aide des informations d'identification par défaut. Nom d'utilisateur : admin
Mot de passe : ciscosystems
|
| 4 |
Modifiez les informations d'identification de l'administrateur lorsque vous y êtes invitée. |
| 5 |
Configurez l'adresse IP statique, le masque de sous-réseau, la passerelle, les paramètres DNS et NTP du nœud à l'aide de l'option Modifier la configuration. |
| 6 |
Éteignez la machine virtuelle HDS avant de connecter l'ISO. Accédez à Infrastructure > Calcul > Machines virtuelles et sélectionnez la machine virtuelle HDS appropriée. Dans l'onglet Résumé, sélectionnez Power Operations > Power Off et attendez que la machine virtuelle soit complètement arrêtée. |
| 7 |
Ouvrez l'onglet Disques de la machine virtuelle. |
| 8 |
Si une ancienne image ISO de configuration est jointe, sélectionnez uniquement son entrée sur CD-ROM et cliquez sur Supprimer. Dans l'onglet Disques, si le champ Source est vide pour toutes les entrées de disque virtuel, cochez les cases correspondantes et cliquez sur Supprimer. |
| 9 |
Sélectionnez Attach Disk et configurez les valeurs suivantes :
|
| 10 |
Enregistrez la configuration et vérifiez que la nouvelle image ISO apparaît sur le CD-ROM joint à la machine virtuelle. |
| 11 |
Dans l'onglet Résumé de la machine virtuelle, sélectionnez Power Operations > Power On et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
Que faire ensuite
Si nécessaire, passez à Configurer le nœud pour l'intégration du proxy, puis enregistrez le premier nœud du cluster.
Migrer les nœuds HDS entre les hyperviseurs pris en charge
Suivez cette procédure pour déplacer les nœuds HDS d'un hyperviseur compatible à un autre. Les machines virtuelles HDS existantes ne sont pas migrées directement entre les hyperviseurs. Déployez plutôt des nœuds de remplacement sur l'hyperviseur cible et enregistrez-les auprès du cluster HDS existant ou nouveau.
Avant de commencer
- Sauvegardez la base de données HDS et l'ISO de configuration actuelle.
- Vérifiez que l'hyperviseur cible et les hôtes virtuels répondent aux exigences de déploiement du HDS.
- Vérifiez que le cluster HDS existant est en bon état et que les nœuds restants peuvent continuer à gérer le trafic pendant que vous remplacez un nœud.
- Déterminez si chaque nœud de remplacement réutilisera l'adresse IP et le nom de domaine complet du nœud source ou utilisera de nouveaux paramètres réseau.
- Utilisez l'ISO de configuration actuelle et la base de données HDS existante pour les nœuds de remplacement.
Si le déménagement modifie également la configuration du centre de données actif, du serveur de base de données ou du HDS, consultez Modifier la configuration des nœuds et le centre de données de secours pour la reprise après sinistre avant de continuer.
| 1 |
Sélectionnez le nœud HDS à remplacer sur l'hyperviseur source. Laissez tous les autres nœuds actifs et enregistrés. |
| 2 |
Préparez la configuration réseau pour le nœud de remplacement :
Ne faites pas fonctionner le nœud source et le nœud de remplacement en même temps s'ils utilisent la même configuration réseau. |
| 3 |
Créez et configurez la machine virtuelle de remplacement sur l'hyperviseur cible. Utilisez la dernière version de HDS OVA et suivez les procédures de déploiement applicables à cet hyperviseur. |
| 4 |
Configurez les paramètres réseau de la machine virtuelle de remplacement en fonction de la configuration sélectionnée à l'étape 2. Suivez les instructions de configuration de l'hyperviseur cible. |
| 5 |
Joignez la configuration ISO actuelle du HDS. Si votre déploiement utilise un proxy, configurez-le et faites confiance comme décrit dans Configuration du nœud HDS pour l'intégration du proxy. |
| 6 |
Enregistrez le nœud de remplacement auprès du cluster existant ou d'un nouveau cluster. Voir Créer et enregistrer d'autres nœuds. |
| 7 |
Vérifiez que le nœud de remplacement est en bon état, qu'il est connecté au cloud Webex et qu'il gère le trafic HDS. Résolvez toutes les alarmes avant de continuer. |
| 8 |
Si le nœud source fonctionne toujours parce que le nœud de remplacement utilise une nouvelle configuration réseau, éteignez-le et désenregistrez-le. Voir Supprimer un nœud. |
| 9 |
Répétez ces étapes pour chaque nœud restant sur l'hyperviseur source. Ne remplacez pas un autre nœud tant que le cluster n'est pas en bon état. |
| 10 |
Une fois que tous les nœuds de remplacement seront stables et que la restauration ne sera plus nécessaire, supprimez les machines virtuelles d'origine de l'hyperviseur source. Si vous conservez temporairement une machine virtuelle d'origine, laissez-la éteinte et démontez sa configuration ISO. |
Que faire ensuite
Après avoir enregistré les nœuds de remplacement, vérifiez qu'ils sont sains et que le déploiement HDS gère le trafic. Si le déploiement est correct, supprimez tous les nœuds sources encore enregistrés sur l'hyperviseur d'origine. Le cas échéant, suivez les étapes ci-dessus pour remplacer les nœuds dans la configuration de reprise après sinistre.
Exécutez l'outil HDS Setup à l'aide de Podman Desktop
Podman est un outil de gestion de conteneurs gratuit et open source qui permet de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé sur https://podman-desktop.io/downloads.
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, téléchargez et lancez Podman sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale qui chiffre la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications à la configuration, comme suit :
-
Informations d'identification de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous envisagez de chiffrer les connexions aux bases de données, configurez votre déploiement de PostgreSQL ou SQL Server pour le protocole TLS.
Le processus de configuration de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
Sur la ligne de commande de votre machine, entrez la commande appropriée à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : Cette étape efface les images précédentes de l'outil de configuration HDS. S'il n'y a aucune image précédente, cela renvoie un message d'erreur que vous pouvez ignorer. |
| 2 |
Pour vous connecter au registre d'images Docker, saisissez ce qui suit : |
| 3 |
À l'invite du mot de passe, entrez ce hash : |
| 4 |
Téléchargez la dernière image stable correspondant à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : |
| 5 |
Une fois le pull terminé, entrez la commande appropriée à votre environnement :
Lorsque le conteneur fonctionne, vous voyez « Le serveur Express écoute sur le port 8080 ». L'outil de configuration ne permet pas de se connecter à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. |
Que faire ensuite
Désactiver les agents du cloud
Les agents cloud (c-agent) sont des comptes de service Webex fiables qui effectuent des opérations sur HDS par le biais d'un accès délégué au nom d'un utilisateur afin d'améliorer l'expérience utilisateur globale. La désactivation des agents cloud empêche les services Webex d'accéder aux clés HDS locales.
La désactivation des agents cloud entraînera la perte de fonctionnalités telles que les enregistrements après les réunions, les transcriptions, les aperçus de fichiers et l'analyse automatique des programmes malveillants dans Webex App Spaces.
Suivez les étapes ci-dessous pour désactiver les agents cloud lors de votre déploiement HDS.
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes indiquées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO d'origine du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés. |
| 3 |
Sur la page des paramètres avancés, ajoutez la configuration ci-dessous pour désactiver les agents du cloud. Cela garantira que les agents du cloud ne seront pas autorisés à gérer le trafic HDS.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de cryptage principale pour le contenu de la base de données. Restreignez l'accès aux seuls administrateurs d'Hybrid Data Security qui doivent apporter des modifications à la configuration. |
| 6 |
Montez le fichier ISO de configuration : Avant de monter la nouvelle configuration ISO :
Pour les déploiements VMware : Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
| 7 |
Allumez le nœud HDS et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 8 |
Répétez le processus pour chaque nœud de votre déploiement HDS. Vérifiez que les agents cloud sont désactivés en consultant les syslogs pour y trouver l'entrée suivante : « Mise à jour désactivée de l'agent cloud ». |
Déplacer le déploiement HDS à locataire unique existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-tenant dans Partner Hub
La conversion d'un déploiement HDS à locataire unique existant d'une organisation partenaire géré dans Control Hub à un déploiement HDS multi-tenant géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter au Partner Hub, enregistrer les nœuds, activer le HDS multitenant et ajouter des clients à votre cluster.
Le terme « locataire unique » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez le HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybrid. Sur la carte Hybrid Data Security, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler la page vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Supprimer. |
| 8 |
Cliquez sur Confirmer la suppression pour annuler l'enregistrement du cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désenregistrement des nœuds et la suppression des clusters, la configuration de la carte Hybrid Data Service sur Control Hub sera affichée en bas. |
Activez le HDS multitenant pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Tous les prérequis mentionnés dans Exigences relatives à la sécurité hybride des données multi-locataires s'appliquent ici. En outre, assurez-vous que la même base de données et les mêmes certificats sont utilisés lors du passage au Multi-Tenant HDS.
| 1 |
Connectez-vous au Partner Hub. Cliquez sur Services dans le volet de gauche. Utilisez la même ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs lors du précédent déploiement HDS existant sont toujours accessibles dans la nouvelle configuration multi-tenant. |
| 2 |
Dans la section Hybrid, recherchez la carte Hybrid Data Security et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de Créer une carte de cluster, saisissez le nom du cluster auquel vous souhaitez attribuer votre nœud Hybrid Data Security. Nous vous recommandons de nommer un cluster en fonction de la position géographique de ses nœuds. Exemples : « San Francisco », « New York » ou « Dallas » |
| 5 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine complet (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés lors de la configuration de la machine virtuelle hybride de sécurité des données. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur le Webex.
|
| 6 |
Cliquez sur Accéder au nœud. Au bout de quelques instants, vous êtes redirigée vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests sont réussis, la page Autoriser l'accès au nœud hybride de sécurité des données apparaît. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud hybride de sécurité des données, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur Webex Cloud. Sur la page Hybrid Data Security, le nouveau cluster contenant le nœud que vous avez enregistré est affiché dans l'onglet Ressources. Le nœud téléchargera automatiquement les derniers logiciels depuis le cloud.
|
| 8 |
Accédez à l'onglet Paramètres, puis cliquez sur Activer sur la carte de statut HDS.
Le message HDS activé apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients assignés. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur OK en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui permet de créer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il existe d'autres moyens de le faire, mais nous ne soutenons ni ne faisons de promotion d'une manière ou d'une autre.
-
Si vous choisissez d'utiliser OpenSSL, nous vous proposons cette procédure à titre indicatif pour vous aider à créer un fichier répondant aux exigences de certification X.509 dans Exigences de certification X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement compatible. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créez une clé privée.
-
Commencez cette procédure lorsque vous recevrez le certificat de serveur de votre Certificate Authority (CA).
| 1 |
Lorsque vous recevrez le certificat de serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de bundle de certificats appelé
|
| 4 |
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Revenir à la page Compléter les prérequis pour la sécurité hybride des données. Vous utiliserez le fichier hdsnode.p12
et le mot de passe que vous avez défini pour celui-ci dans Create a Configuration ISO for the HDS Hosts.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expirera.
Trafic entre les nœuds HDS et le cloud
Collecte de métriques et trafic sortant
Les nœuds Hybrid Data Security envoient certains indicateurs au cloud Webex. Il s'agit notamment des indicateurs du système concernant le nombre maximum de blocs, le tas utilisé, la charge du processeur et le nombre de threads ; des indicateurs relatifs aux threads synchrones et asynchrones ; des indicateurs relatifs aux alertes concernant un seuil de connexions chiffrées, de latence ou la longueur de la file d'attente des requêtes ; des indicateurs relatifs à la banque de données ; et des indicateurs de connexion chiffrés. Les nœuds envoient des informations clés cryptées via un canal hors bande (distinct de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants depuis le cloud Webex :
-
Demandes de cryptage émanant de clients, qui sont acheminées par le service de cryptage
-
Mises à niveau du logiciel Node
Configurer les proxies Squid pour une sécurité hybride des données
Websocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions Websocket (wss :) requises par Hybrid Data Security. Ces sections expliquent comment configurer les différentes versions de Squid afin d'ignorer wss : traffic pour le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf :
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé Hybrid Data Security avec succès en ajoutant les règles suivantes à squid.conf. Ces règles sont susceptibles d'être modifiées au fur et à mesure que nous développons des fonctionnalités et mettons à jour le cloud Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allFlux de tâches de désactivation du HDS multi-tenant
Suivez ces étapes pour désactiver complètement le Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des locataires retirés du HDS. . |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de Hybrid Data Security et cliquez sur Désactiver le HDS sur la carte de statut du HDS. |
Questions fréquemment posées
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales des clients (CMK) sont stockées dans la base de données et cryptées à l'aide de la clé principale, qui est stockée dans l'ISO.
Q. Est-ce qu'une seule clé est utilisée pour crypter toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont cryptées à l'aide de sa propre clé CMK (clé principale du client).
Q. Que se passera-t-il si je désactive le HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement touchées. Le contenu existant dans les espaces sera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces créés précédemment et les espaces individuels.
Q. Une fois le CMK généré pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à tirer parti de Multi-Tenant HDS ?
R. Il peut y avoir un délai maximum de 24 heures pour que le cache du cloud soit actualisé.
Q. Pourquoi ne vois-je pas la liste des clients lorsque je clique sur le bouton « Ajouter des clients » dans Partner Hub ?
R. Cela signifie généralement qu'aucune organisation cliente ne répond aux exigences Cisco Webex de licence.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème réseau touche tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement touchées. Le contenu existant n'est accessible que jusqu'à l'expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles cryptées à l'aide de la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont cryptées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux clés CMK des clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles être situées dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de renvoyer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de renvoyer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser Multi-Tenant HDS exclusivement pour gérer ses clients ?
R. Non, cela n'est pas pris en charge pour le moment. Le support de cette fonctionnalité est prévu pour le futur.
Q. Comment un partenaire peut-il vérifier que son organisation utilise le HDS multi-tenant pour le cryptage ?
A. Connectez-vous au Partner Hub. Accédez à Services > Hybrid Data Security > Paramètres. Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients désignés utilisent le HDS multi-tenant.
Vous pouvez également consulter vos journaux système pour vérifier que le HDS est activé. Voir Testez votre déploiement hybride de sécurité des données.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil de configuration HDS ?
R. Oui. Pod man Desktop est une alternative open source à Docker Desktop. Voir l'outil Run HDS Setup à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-tenant ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1 000.
Q. Quelle est la configuration réseau requise pour configurer le Multi-Tenant HDS ?
Q. Le Pro Pack pour Control Hub est-il obligatoire pour les organisations partenaires ?
R. Non. Le Pro Pack n'est pas obligatoire pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide sur la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans le HDS multi-tenant ?
R. Non, Multi-Tenant HDS ne prend pas en charge le HSM pour le moment.
Q. Puis-je tester le Multi-Tenant HDS à l'aide d'un certificat autosigné ?
R. Non. Le Multi-Tenant HDS nécessite un certificat obtenu auprès d'une autorité de certification fiable qui répond à toutes les exigences mentionnées dans les exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. L'ISO n'a besoin d'être montée que lors de la modification des configurations ISO. Lorsque vous ajoutez un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales des clients (CMK) à l'aide de l'outil HDS Setup.
Q. Une fois le Multi-Tenant HDS déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser KMS sur site pour la gestion des clés ?
R. Les utilisateurs ne commenceront à utiliser le KMS sur site pour la gestion des clés qu'une fois le HDS activé dans Partner Hub.
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et toutes les erreurs majeures corrigées dans le Guide de déploiement pour la sécurité hybride des données multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 1 octobre 2026 | |
| 21 septembre 2026 |
|
| 31 août 2026 |
|
| 28 août 2026 |
|
| 30 juillet 2026 |
|
| 2 juillet 2026 |
|
| 23 juin 2026 |
|
| 1 juin 2026 |
|
| 16 avril 2026 |
|
| 25 mars 2026 |
|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
La version 2022 du serveur SQL a été ajoutée à la liste des serveurs SQL pris en charge dans la section Configuration requise pour les serveurs de base de données. |
|
15 janvier 2025 |
Ajout de limites à la sécurité des données hybrides multilocataires. |
|
8 janvier 2025 |
Dans la section Effectuer la configuration initiale et télécharger les fichiers d'installation, une note a été ajoutée indiquant que le fait de cliquer sur Configurer sur la carte HDS dans Partner Hub constitue une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences en matière d'hôte virtuel, flux de tâches de déploiement de la sécurité hybride des données et installation du HDS Host OVA pour répondre aux nouvelles exigences d'ESXi 7.0. |
|
13 décembre 2024 |
Publié pour la première fois. |
Présentation de la sécurité des données hybrides multilocataires
Dès le premier jour, la sécurité des données a été au cœur de la conception de l'application Webex. La pierre angulaire de cette sécurité est le cryptage du contenu de bout en bout, activé par les clients de l'application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est chargé de créer et de gérer les clés cryptographiques que les clients utilisent pour crypter et déchiffrer dynamiquement les messages et les fichiers.
Par défaut, tous les clients de l'application Webex bénéficient d'un cryptage de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. Hybrid Data Security déplace le KMS et les autres fonctions liées à la sécurité vers le centre de données de votre entreprise, afin que personne d'autre que vous ne détienne les clés de votre contenu crypté.
La sécurité hybride des données multi-locataires permet aux organisations de tirer parti du HDS par l'intermédiaire d'un partenaire local de confiance, capable d'agir en tant que fournisseur de services et de gérer le cryptage sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire d'avoir un contrôle total sur le déploiement et la gestion des clés de cryptage et garantit la protection des données utilisateur des organisations clientes contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti du HDS, étant donné que les services de gestion des clés et les infrastructures de sécurité, telles que les centres de données, appartiennent à un partenaire local de confiance.
Comment la sécurité hybride des données multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre tout accès externe, comme les fournisseurs de services cloud.
- Des partenaires de confiance locaux gèrent les clés de cryptage des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est fournie par le partenaire.
- Supporte le contenu relatif aux réunions, à la messagerie et aux appels.
Ce document vise à aider les organisations partenaires à configurer et à gérer leurs clients dans le cadre d'un système hybride de sécurité des données multitenant.
Limites de la sécurité des données hybrides multilocataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations de locataires ou de clients qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois le Multi-Tenant HDS déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à utiliser Multi-Tenant HDS pour leurs services de cryptage.
L'organisation partenaire et les organisations clientes qu'ils gèrent utiliseront le même déploiement HDS multi-tenant.
L'organisation partenaire n'utilisera plus le cloud KMS après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de renvoyer les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur ont certaines limites ; voir la section ci-dessous pour plus de détails.
Rôles dans le domaine de la sécurité des données hybrides multilocataires
- Administrateur à part entière du partenaire - Peut gérer les paramètres de tous les clients gérés par le partenaire. Peut également attribuer des rôles d'administrateur aux utilisateurs existants de l'organisation et attribuer des clients spécifiques à gérer par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a configurés ou qui ont été assignés à l'utilisateur.
- Administrateur à part entière : administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion du HDS multitenant de bout en bout pour toutes les organisations clientes. Le partenaire est administrateur complet et droits d'administrateur complets sont requis.
- Gestion des organisations de locataires assignées - Administrateur partenaire et droits d'administrateur complets requis.
Architecture du domaine de sécurité
L'architecture cloud Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme indiqué ci-dessous.
Pour mieux comprendre la sécurité hybride des données, examinons d'abord cette solution purement cloud, dans laquelle Cisco fournit toutes les fonctions de son domaine cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement mis en corrélation avec leurs informations personnelles, telles que leur adresse e-mail, est logiquement et physiquement distinct du domaine de sécurité du centre de données B. Les deux sont à leur tour séparés du domaine où le contenu crypté est finalement stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex qui s'exécute sur l'ordinateur portable de l'utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se déroulent :
-
Le client établit une connexion sécurisée avec le service de gestion des clés (KMS), puis demande une clé pour crypter le message. La connexion sécurisée utilise l'ECDH, et le KMS chiffre la clé à l'aide d'une clé principale AES-256.
-
Le message est crypté avant de quitter le client. Le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures sur le contenu.
-
Le message crypté est envoyé au service de conformité pour les contrôles de conformité.
-
Le message crypté est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous transférez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données local. Les autres services cloud qui constituent Webex (y compris le stockage des identités et du contenu) restent du domaine de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes d'autres organisations. Lorsque l'un de vos utilisateurs demande la clé d'un espace appartenant à votre organisation (parce que celui-ci a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH distinct afin d'obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS qui fonctionne sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Prepare your Environment pour plus de détails sur la génération d'un certificat x.509 à utiliser dans le cadre de votre déploiement de solutions hybrides multilocataires de sécurité des données.
Les attentes concernant le déploiement d'une solution hybride de sécurité des données
Un déploiement hybride de sécurité des données nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de cryptage.
Pour déployer Hybrid Data Security, vous devez fournir :
-
Un centre de données sécurisé dans un pays où les Cisco Webex Teamsforfaits sont pris en charge.
-
L'équipement, les logiciels et l'accès au réseau décrits dans Prepare your Environment.
La perte totale de l'ISO de configuration que vous avez créée pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données cryptées dans l'application Webex. Dans ce cas, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter de perdre l'accès aux données, vous devez :
-
Gérez la sauvegarde et la restauration de la base de données et de l'ISO de configuration.
-
Soyez prête à effectuer une reprise d'activité rapide en cas de catastrophe, comme une panne de disque de base de données ou une catastrophe dans un centre de données.
La migration de Multi-Tenant Hybrid Data Security (HDS) vers Webex Cloud KMS n'est pas prise en charge. La mise hors service du HDS entraînera la perte de l'accès au contenu et aux données précédemment chiffrés avec ces clés. Vous devez conserver le HDS pour conserver l'accès au contenu crypté existant.
Processus de configuration de haut niveau
Ce document traite de la configuration et de la gestion d'un déploiement de sécurité des données hybride multitenant :
-
Mettre en place la sécurité hybride des données : cela inclut la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion des clés principales de leurs clients (CMK). Cela permettra à tous les utilisateurs de vos organisations clientes d'utiliser votre cluster Hybrid Data Security pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement hybride de sécurité des données : le cloud Webex propose automatiquement des mises à niveau continues. Votre service informatique peut fournir une assistance de niveau 1 pour ce déploiement et faire appel à l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans Partner Hub.
-
Comprenez les alertes courantes, les étapes de dépannage et les problèmes connus. Si vous rencontrez des difficultés pour déployer ou utiliser Hybrid Data Security, le dernier chapitre de ce guide et l'annexe sur les problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Modèle de déploiement hybride de la sécurité des données
Au sein du centre de données de votre entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des Websockets sécurisés et un HTTP sécurisé.
Pendant le processus d'installation, nous vous fournissons le fichier OVA pour configurer l'appliance virtuelle sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise le serveur Syslogd et la base de données PostgreSQL ou Microsoft SQL Server que vous avez fournis. (Vous configurez les informations de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons d'en utiliser au moins trois par cluster. Le fait de disposer de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le cloud Webex ne met à niveau qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent à la même banque de données clés et enregistrent leur activité sur le même serveur Syslog. Les nœuds eux-mêmes sont apatrides et traitent les demandes clés de manière circulaire, selon les instructions du cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez sur Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer, puis le réenregistrer si nécessaire.
Assistance par proxy
Hybrid Data Security prend en charge les proxys explicites et transparents et les proxys non inspectables. Vous pouvez associer ces proxys à votre déploiement afin de sécuriser et de surveiller le trafic de l'entreprise vers le cloud. Vous pouvez utiliser l'interface d'administration de la plateforme sur les nœuds pour gérer les certificats et vérifier l'état général de la connectivité après avoir configuré le proxy sur les nœuds.
Les nœuds Hybrid Data Security prennent en charge les options de proxy suivantes :
-
Pas de proxy : par défaut, si vous n'utilisez pas la configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n'est requise.
-
Proxy transparent sans inspection — Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modification pour fonctionner avec un proxy qui n'inspecte pas. Aucune mise à jour du certificat n'est requise.
-
Tunneling transparent ou inspection d'un proxy — Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPS n'est nécessaire sur les nœuds. Cependant, les nœuds ont besoin d'un certificat racine pour faire confiance au proxy. Les proxys d'inspection sont généralement utilisés par les services informatiques pour appliquer les politiques relatives aux sites Web qui peuvent être visités et aux types de contenu interdits. Ce type de proxy déchiffre tout votre trafic (même HTTPS).
-
Proxy explicite : avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FQDN du proxy : adresse qui peut être utilisée pour accéder à la machine proxy.
-
Port proxy : numéro de port utilisé par le proxy pour écouter le trafic transmis par proxy.
-
Protocole proxy : en fonction de ce que prend en charge votre serveur proxy, choisissez l'un des protocoles suivants :
-
HTTP : consulte et contrôle toutes les demandes envoyées par le client.
-
HTTPS : fournit un canal vers le serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification : choisissez l'un des types d'authentification suivants :
-
Aucune. Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
-
Basique : utilisé par un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lorsqu'il fait une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
-
Digest —Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage au nom d'utilisateur et au mot de passe avant de les envoyer sur le réseau.
Disponible uniquement si vous sélectionnez HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds hybrides de sécurité des données et de proxy
Ce schéma montre un exemple de connexion entre le réseau Hybrid Data Security et un proxy. Pour les options de proxy d'inspection transparente et d'inspection explicite HTTPS, le même certificat racine doit être installé sur le proxy et sur les nœuds Hybrid Data Security.
Mode de résolution DNS externe bloqué (configurations de proxy explicites)
Lorsque vous enregistrez un nœud ou que vous vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex cloud. Dans les déploiements avec des configurations de proxy explicites qui n'autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloquée. Dans ce mode, l'enregistrement des nœuds et les autres tests de connectivité du proxy peuvent avoir lieu.
Exigences relatives à la sécurité des données hybrides multilocataires
Cisco WebexExigences en matière de licence
Pour déployer la sécurité des données hybride multilocataire :
-
Organisations de locataires : vous devez avoir un pack Pro pourCisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences relatives à Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation a peut-être besoin d'un abonnement payant pour Docker Desktop. Pour plus de détails, consultez le billet de blog de Docker, « Docker met à jour et étend ses abonnements aux produits ».
Les clients qui n'ont pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source tel que Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir l'outil Run HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences relatives au certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Exigence |
Détails |
|---|---|
| |
|
Le CN n'a pas besoin d'être joignable ni d'être un hôte en direct. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le CN ne doit pas contenir de * (caractère générique). Le CN est utilisé pour vérifier les nœuds hybrides de sécurité des données auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie à l'aide du domaine CN, et non d'un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, il n'est pas possible de changer le nom de domaine CN. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour valider les connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel qu'OpenSSL pour modifier le format de votre certificat. Vous devrez saisir le mot de passe pour lancer l'outil de configuration HDS. |
| Seuls les certificats RSA sont pris en charge. |
Le logiciel KMS n'impose pas l'utilisation des clés ni aucune contrainte d'utilisation étendue des clés. Certaines autorités de certification exigent que des contraintes étendues d'utilisation des clés soient appliquées à chaque certificat, comme l'authentification du serveur. Vous pouvez utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous allez configurer en tant que nœuds hybrides de sécurité des données dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
Hyperviseurs pris en charge :
-
VMware ESXi 7.0 ou 8.0.
- Logiciel d'infrastructure de virtualisation des fonctions réseau (NFVIS) Cisco Enterprise, version 26.2.1.
- Nutanix AOS 7.5.x avec Nutanix AHV 11.0.x.
-
-
Au moins 4 processeurs virtuels, 8 Go de mémoire principale, 30 Go d'espace disque local par serveur.
Exigences relatives aux serveurs de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, une fois installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Au moins 8 processeurs virtuels, 16 Go de mémoire principale, suffisamment d'espace sur le disque dur et surveillance pour éviter qu'il ne soit dépassé (2 To sont recommandés si vous voulez faire fonctionner la base de données pendant une longue période sans avoir à augmenter la capacité de stockage) |
Au moins 8 processeurs virtuels, 16 Go de mémoire principale, suffisamment d'espace sur le disque dur et surveillance pour éviter qu'il ne soit dépassé (2 To sont recommandés si vous voulez faire fonctionner la base de données pendant une longue période sans avoir à augmenter la capacité de stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour communiquer avec le serveur de base de données :
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC pour SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On (instances de cluster Always On Failover Cluster et groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de keystore sur Microsoft SQL Server, vous avez besoin de la configuration suivante dans votre environnement :
-
Les nœuds HDS, Active Directory l'infrastructure et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit disposer d'un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre Microsoft SQL Server en tant que nom principal de service (SPN) sur votre. Active Directory Voir Enregistrer un nom principal de service pour Kerberos Connections.
L'outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du keystore. Ils utilisent les informations de votre configuration ISO pour créer le SPN lorsqu'ils demandent un accès par authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Candidature |
Protocole |
Port |
Itinéraire depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds hybrides de sécurité des données |
TCP |
443 |
HTTPS et WSS sortants |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds Hybrid Data Security fonctionnent avec la traduction d'accès au réseau (NAT) ou sont protégés par un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds Hybrid Data Security, aucun port ne devrait être visible depuis Internet. Au sein de votre centre de données, les clients doivent accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22, à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à chaque région. Voici les animateurs de CI actuels :
|
Région |
URL des hôtes Common Identity |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Exigences relatives aux serveurs proxy
-
Nous soutenons officiellement les solutions proxy suivantes qui peuvent s'intégrer à vos nœuds Hybrid Data Security.
-
Proxy transparent : appliance de sécurité Web Cisco (WSA).
-
Proxy explicite : Squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions Websocket (wss :). Pour contourner ce problème, voir Configurer les proxies Squid pour la sécurité hybride des données.
-
-
Nous prenons en charge les combinaisons de types d'authentification suivantes pour les proxys explicites :
-
Pas d'authentification via HTTP ou HTTPS
-
Authentification de base par HTTP ou HTTPS
-
Authentification Digest via HTTPS uniquement
-
-
Pour un proxy d'inspection transparent ou un proxy explicite HTTPS, vous devez avoir une copie du certificat racine du proxy. Les instructions de déploiement de ce guide vous indiquent comment télécharger la copie sur les boutiques de confiance des nœuds Hybrid Data Security.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à être acheminé via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions aux sockets Web. Si ce problème se produit, contourner (et non inspecter) le trafic vers
wbx2.com etle problème.ciscospark.comrésoudra
Remplissez les prérequis pour la sécurité hybride des données
| 1 |
Assurez-vous que le HDS n'est pas activé dans Control Hub dans votre organisation et obtenez les informations d'identification d'un compte avec les droits d'administrateur et d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour Pro Pack pourCisco Webex Control Hub. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide dans cette procédure. Les organisations clientes ne devraient pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds hybrides de sécurité des données dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) situés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences relatives aux hôtes virtuels. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données clé pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être situé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production possède 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde devrait en comporter 3. |
| 6 |
Configurez un hôte Syslog pour collecter les journaux des nœuds du cluster. Rassemblez son adresse réseau et son port Syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte Syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le cryptage et le déchiffrement du contenu, le fait de ne pas maintenir un déploiement opérationnel entraînera une PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l'application Webex mettent leurs clés en cache. Une panne peut donc ne pas être immédiatement perceptible, mais elle se manifestera au fil du temps. Bien qu'il soit impossible de prévenir les pannes temporaires, elles peuvent être réparées. Cependant, la perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration se traduira par des données clients irrécupérables. Les opérateurs des nœuds Hybrid Data Security sont censés effectuer de fréquentes sauvegardes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu autorise la connectivité de vos nœuds Hybrid Data Security, comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker (https://www.docker.com) sur n'importe quelle machine locale équipée d'un système d'exploitation compatible (Microsoft Windows10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) à l'aide d'un navigateur Web accessible sur http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous aurez peut-être besoin d'une licence Docker Desktop. Consultez Docker Desktop Requirements pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy à Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Flux de tâches de déploiement de la sécurité des données hybride
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur local pour une utilisation ultérieure. |
| 2 |
Créer une image ISO de configuration pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, par exemple les paramètres réseau. La configuration des paramètres réseau lors du déploiement d'OVA n'est prise en charge que sur ESXi 7.0 et 8.0. Pour les déploiements NFVIS, voir Installer l'hôte HDS OVA sur NFVIS. Pour les déploiements de Nutanix, voir Installer le HDS Host OVA sur Nutanix |
| 4 |
Configurer la machine virtuelle hybride de sécurité des données Connectez-vous à la console de la machine virtuelle et définissez les informations de connexion. Configurez les paramètres réseau du nœud si vous ne les aviez pas configurés au moment du déploiement d' OVA. Pour les déploiements NFVIS, voir Configuration de la machine virtuelle hybride de sécurité des données sur NFVIS. Pour les déploiements de Nutanix, voir Créer la machine virtuelle hybride de sécurité des données sur Nutanix |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil de configuration HDS. Pour les déploiements NFVIS, voir Télécharger et monter l'ISO de configuration HDS. Pour les déploiements de Nutanix, voir Télécharger et monter l'ISO de configuration HDS |
| 6 |
Configurer le nœud HDS pour l'intégration d'un proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous allez utiliser pour le nœud et ajoutez le certificat de proxy au Trust Store si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle dans le Cisco Webex cloud en tant que nœud hybride de sécurité des données. |
| 8 |
Créez et enregistrez d'autres nœuds Terminez la configuration du cluster. |
| 9 |
Activez le HDS multitenant sur Partner Hub. Activez HDS et gérez les organisations de locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Pour cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous avez configurés en tant que nœuds hybrides de sécurité des données). Vous utiliserez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous au Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybrid, recherchez la carte Hybrid Data Security, puis cliquez sur Configurer. Il est essentiel de cliquer sur Configurer dans Partner Hub pour le processus de déploiement. Ne poursuivez pas l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource, puis sur Télécharger le fichier .OVA sur la carte d'installation et de configuration du logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à niveau de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le
téléchargement du fichier OVA commence automatiquement. Enregistrez le fichier sur un emplacement de votre
machine.
|
Créer une image ISO de configuration pour les hôtes HDS
Le processus de configuration de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, lancez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub doté de tous les droits d'administrateur.
Si vous n'avez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pendant les étapes 1 à 5 de la procédure ci-dessous. Voir l'outil Run HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale qui chiffre la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications à la configuration, comme suit :
-
Informations d'identification de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous envisagez de chiffrer les connexions aux bases de données, configurez votre déploiement de PostgreSQL ou SQL Server pour le protocole TLS.
| 1 |
Sur la ligne de commande de votre machine, entrez la commande appropriée à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : Cette étape efface les images précédentes de l'outil de configuration HDS. S'il n'y a aucune image précédente, cela renvoie un message d'erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connecter au registre d'images Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l'invite du mot de passe, entrez ce hash : | ||||||||||
| 4 |
Téléchargez la dernière image stable correspondant à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Une fois le pull terminé, entrez la commande appropriée à votre environnement :
Lorsque le conteneur fonctionne, vous voyez « Le serveur Express écoute sur le port 8080 ». | ||||||||||
| 6 |
L'outil de configuration ne permet pas de se connecter à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invitée, saisissez vos informations de connexion en tant qu'administrateur du Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. | ||||||||||
| 8 |
Sur la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page d'importation ISO, vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences de la section Exigences relatives aux certificats X.509.
| ||||||||||
| 11 |
Entrez l'adresse de la base de données et le compte permettant à HDS d'accéder à votre banque de données clés : | ||||||||||
| 12 |
Sélectionnez un mode de connexion à une base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et que vous cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L'outil vérifie également le signataire du certificat et le nom d'hôte, le cas échéant. En cas d'échec d'un test, l'outil affiche un message d'erreur décrivant le problème. Vous pouvez choisir d'ignorer l'erreur et de poursuivre la configuration. (En raison des différences de connectivité, les nœuds HDS seront peut-être en mesure d'établir la connexion TLS même si la machine HDS Setup Tool ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page System Logs, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans les Paramètres avancés. En général, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les anciens fichiers ISO. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un endroit facile à trouver. | ||||||||||
| 17 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de cryptage principale pour le contenu de la base de données. Restreignez l'accès aux seuls administrateurs d'Hybrid Data Security qui doivent apporter des modifications à la configuration. | ||||||||||
| 18 |
Pour arrêter l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer d'autres nœuds à des fins de restauration ou pour modifier la configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il n'est pas possible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous n'avons jamais de copie de cette clé et nous ne pouvons pas nous empêcher si vous la perdez.
Installez le HDS Host OVA
Si vous déployez HDS sur un hyperviseur NFVIS, consultez la section Install the HDS Host OVA on NFVIS.
Si vous déployez HDS sur un hyperviseur Nutanix, consultez la section Install the HDS Host OVA on Nutanix.
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez Fichier > Déployer un modèle OVF. |
| 3 |
Dans l'assistant, indiquez l'emplacement du fichier OVA que vous avez téléchargé plus tôt, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionnez un nom et un dossier, saisissez le nom de la machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez l'emplacement où le nœud de machine virtuelle peut se déployer, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionnez une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est en cours. Une fois terminé, les détails du modèle apparaissent. |
| 6 |
Vérifiez les informations du modèle, puis cliquez sur Suivant. |
| 7 |
Si on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage des machines virtuelles. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la machine virtuelle. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configuration de la machine virtuelle Hybrid Data Security pour configurer les paramètres depuis la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. L'option n'était peut-être pas disponible dans les versions précédentes. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prête à vous connecter à la console et à configurer le nœud. Conseils de dépannage Il se peut que vous ayez un délai de quelques minutes avant que les conteneurs de nœuds n'arrivent. Un message de pare-feu Bridge apparaît sur la console lors du premier démarrage, pendant lequel vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle hybride de sécurité des données
Suivez cette procédure pour vous connecter à la console virtuelle du nœud Hybrid Data Security pour la première fois et définir les informations de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les aviez pas configurés au moment du déploiement d'OVA.
Si vous déployez HDS sur un hyperviseur NFVIS, consultez la section Configurer la machine virtuelle hybride de sécurité des données sur NFVIS.
Si vous déployez HDS sur un hyperviseur Nutanix, consultez la section Créer une machine virtuelle hybride de sécurité des données sur Nutanix.
| 1 |
Dans le client VMware vSphere, sélectionnez la machine virtuelle de votre nœud Hybrid Data Security et sélectionnez l'onglet Console. La machine virtuelle démarre et une invite de connexion s'affiche. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez l'identifiant et le mot de passe par défaut suivants pour vous connecter et modifier vos informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Install the HDS Host OVA, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Modifiez le nom d'hôte, le domaine ou les serveurs NTP, si nécessaire, pour correspondre à votre politique réseau. Vous n'avez pas besoin de définir le domaine pour qu'il corresponde à celui que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle pour que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Si vous déployez HDS sur un hyperviseur NFVIS, consultez la section ISO sur le téléchargement et le montage de la configuration HDS.
Si vous déployez HDS sur un hyperviseur Nutanix, consultez la section ISO sur le téléchargement et le montage de la configuration HDS.
Avant de commencer
Comme le fichier ISO contient la clé principale, il ne doit être exposé que sur la base des « besoins », pour que les machines virtuelles hybrides de sécurité des données et les administrateurs qui pourraient avoir besoin d'apporter des modifications puissent y accéder. Assurez-vous que seuls ces administrateurs peuvent accéder à la banque de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur : |
| 2 |
Montez le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l'intégration d'un proxy
Si l'environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à Hybrid Data Security. Si vous choisissez un proxy d'inspection transparent ou un proxy explicite HTTPS, vous pouvez utiliser l'interface du nœud pour télécharger et installer le certificat racine. Vous pouvez également vérifier la connexion proxy depuis l'interface et résoudre tout problème potentiel.
Avant de commencer
-
Consultez la section Proxy Support pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l'URL de configuration du nœud HDS |
| 2 |
Accédez à Trust Store & Proxy, puis choisissez une option :
Suivez les étapes suivantes pour obtenir un proxy d'inspection transparent, un proxy HTTP explicite avec authentification de base ou un proxy explicite HTTPS. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d'entité finale, puis accédez à la page Choisissez le certificat racine pour le proxy. Le certificat est chargé mais pas encore installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche en chevron à côté du nom de l'émetteur du certificat pour obtenir plus de détails ou cliquez sur Supprimer si vous avez fait une erreur et souhaitez télécharger à nouveau le fichier. |
| 4 |
Cliquez sur Vérifier la connexion au proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous verrez un message d'erreur indiquant la raison et la manière dont vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution du DNS externe a échoué, c'est que le nœud n'a pas pu atteindre le serveur DNS. Cette condition est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration, et le nœud fonctionnera en mode Résolution DNS externe bloquée. Si vous pensez qu'il s'agit d'une erreur, procédez comme suit, puis consultez Désactiver le mode de résolution du DNS externe bloqué. |
| 5 |
Une fois le test de connexion réussi, pour un proxy explicite défini sur https uniquement, activez l'option Acheminer toutes les requêtes https du port 443/444 depuis ce nœud via le proxy explicite. Ce réglage prend 15 secondes pour prendre effet. |
| 6 |
Cliquez sur Installer tous les certificats dans le Trust Store (apparaît pour un proxy explicite HTTPS ou un proxy d'inspection transparent) ou sur Redémarrer (apparaît pour un proxy HTTP explicite), lisez l'invite, puis cliquez sur Installer si vous êtes prête. Le nœud redémarre en quelques minutes. |
| 7 |
Une fois le nœud redémarré, reconnectez-vous si nécessaire, puis ouvrez la page Aperçu pour vérifier les contrôles de connectivité et vous assurer qu'ils sont tous en vert. Le contrôle de connexion proxy ne teste qu'un sous-domaine de webex.com. En cas de problèmes de connectivité, le problème courant est que certains domaines cloud répertoriés dans les instructions d'installation sont bloqués par le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier nœud, vous créez un cluster auquel il est attribué. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Une fois que vous commencez à enregistrer un nœud, vous devez le terminer dans les 60 minutes, sinon vous devez recommencer à zéro.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez la carte Hybrid Data Security et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de Créer une nouvelle carte de cluster, saisissez le nom du cluster auquel vous souhaitez attribuer votre nœud Hybrid Data Security. Nous vous recommandons de nommer un cluster en fonction de la position géographique de ses nœuds. Exemples : « San Francisco », « New York » ou « Dallas » |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine complet (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés lors de la configuration de la machine virtuelle hybride de sécurité des données. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur le Webex.
|
| 7 |
Cliquez sur Accéder au nœud. Au bout de quelques instants, vous êtes redirigée vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests sont réussis, la page Autoriser l'accès au nœud hybride de sécurité des données apparaît. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud hybride de sécurité des données, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page de sécurité hybride des données du Partner Hub. Sur la page Hybrid Data Security, le nouveau cluster contenant le nœud que vous avez enregistré est affiché dans l'onglet Ressources. Le nœud téléchargera automatiquement les derniers logiciels depuis le cloud.
|
Créez et enregistrez d'autres nœuds
Avant de commencer
-
Une fois que vous commencez à enregistrer un nœud, vous devez le terminer dans les 60 minutes, sinon vous devez recommencer à zéro.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA en répétant les étapes décrites dans Installer l'OVA HDS Host. |
| 2 |
Configurez la configuration initiale de la nouvelle machine virtuelle en répétant les étapes décrites dans Configuration de la machine virtuelle hybride de sécurité des données. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes décrites dans Télécharger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrez le nœud. |
Que faire ensuite
Activez le HDS multitenant sur Partner Hub
Cette tâche permet à tous les utilisateurs des organisations clientes de commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé de configurer votre cluster HDS multitenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer le HDS sur la carte de statut du HDS. |
Ajouter des organisations de locataires dans Partner Hub
Dans le cadre de cette tâche, vous assignez les organisations clientes à votre cluster hybride de sécurité des données.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Tout afficher. |
| 4 |
Accédez à l'onglet Clients assignés. L'onglet Clients assignés ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre cluster. |
| 9 |
Cliquez sur OK en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez les clés principales des clients (CMK) à l'aide de l'outil HDS Setup
Avant de commencer
Assignez les clients comme indiqué dans la section Ajouter des organisations locataires dans Partner Hub. Exécutez l'outil HDS Setup pour terminer le processus de configuration pour les organisations clientes récemment ajoutées.
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, lancez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale qui chiffre la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications à la configuration, comme suit :
-
Informations d'identification de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous envisagez de chiffrer les connexions aux bases de données, configurez votre déploiement de PostgreSQL ou SQL Server pour le protocole TLS.
Le processus de configuration de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
Sur la ligne de commande de votre machine, entrez la commande appropriée à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : Cette étape efface les images précédentes de l'outil de configuration HDS. S'il n'y a aucune image précédente, cela renvoie un message d'erreur que vous pouvez ignorer. |
| 2 |
Pour vous connecter au registre d'images Docker, saisissez ce qui suit : |
| 3 |
À l'invite du mot de passe, entrez ce hash : |
| 4 |
Téléchargez la dernière image stable correspondant à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : |
| 5 |
Une fois le pull terminé, entrez la commande appropriée à votre environnement :
Lorsque le conteneur fonctionne, vous voyez « Le serveur Express écoute sur le port 8080 ». |
| 6 |
L'outil de configuration ne permet pas de se connecter à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invitée, saisissez vos informations de connexion en tant qu'administrateur du Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. |
| 8 |
Sur la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page d'importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour gérer les CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK des locataires, où vous trouverez les trois méthodes suivantes pour gérer les CMK des locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de la gestion des CMK en attente à la gestion des CMK. |
| 13 |
Si la création de la CMK échoue, un message d'erreur s'affichera. |
Supprimer les organisations de locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas utiliser HDS pour leurs besoins de cryptage et perdront tous les espaces existants. Avant de supprimer des organisations clientes, contactez votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Tout afficher. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients assignés. |
| 5 |
Dans la liste des organisations clientes qui s'affiche, cliquez sur |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme indiqué dans Révoquer les CMK des locataires retirés du HDS.
Révoquer les CMK des locataires renvoyés du HDS.
Avant de commencer
Supprimer des clients comme indiqué dans Supprimer les organisations de locataires. Exécutez l'outil HDS Setup pour terminer le processus de suppression pour les organisations clientes qui ont été supprimées.
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, lancez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale qui chiffre la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications à la configuration, comme suit :
-
Informations d'identification de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous envisagez de chiffrer les connexions aux bases de données, configurez votre déploiement de PostgreSQL ou SQL Server pour le protocole TLS.
Le processus de configuration de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
Sur la ligne de commande de votre machine, entrez la commande appropriée à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : Cette étape efface les images précédentes de l'outil de configuration HDS. S'il n'y a aucune image précédente, cela renvoie un message d'erreur que vous pouvez ignorer. |
| 2 |
Pour vous connecter au registre d'images Docker, saisissez ce qui suit : |
| 3 |
À l'invite du mot de passe, entrez ce hash : |
| 4 |
Téléchargez la dernière image stable correspondant à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : |
| 5 |
Une fois le pull terminé, entrez la commande appropriée à votre environnement :
Lorsque le conteneur fonctionne, vous voyez « Le serveur Express écoute sur le port 8080 ». |
| 6 |
L'outil de configuration ne permet pas de se connecter à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invitée, saisissez vos informations de connexion en tant qu'administrateur du Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. |
| 8 |
Sur la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page d'importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK des locataires, où vous trouverez les trois méthodes suivantes pour gérer les CMK des locataires.
|
| 12 |
Une fois la révocation de la CMK réussie, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Testez votre déploiement hybride de sécurité des données
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multilocataire.
-
Assurez-vous d'avoir accès au Syslog pour vérifier que les demandes clés sont transmises à votre déploiement de sécurité hybride multitenant des données.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de Hybrid Data Security, le contenu des espaces créés par les utilisateurs n'est plus accessible une fois que les copies des clés de cryptage mises en cache par le client sont remplacées. |
| 2 |
Envoyez des messages au nouvel espace. |
| 3 |
Consultez la sortie Syslog pour vérifier que les demandes de clé sont transmises à votre déploiement Hybrid Data Security. Si l'utilisateur d'une organisation cliente récemment ajoutée effectue une action, l'identifiant de l'organisation apparaîtra dans les journaux, et il pourra être utilisé pour vérifier que l'organisation utilise le HDS multi-tenant. Vérifiez la valeur de |
Interpréter les journaux HDS et comprendre les étiquettes des agents
Les journaux HDS fournissent des informations détaillées concernant les demandes KMS. Ces journaux incluent différents champs qui permettent d'identifier la nature de la demande et l'identité associée. Il est essentiel de comprendre ces domaines pour interpréter correctement les activités et garantir la fiabilité des opérations internes.
Terminologie
Pour des raisons de clarté lors de la lecture des journaux HDS, il est important de comprendre les termes suivants :
| Mandat | Définition |
|---|---|
| Compte de service | Une identité de service qui permet aux services Webex d'effectuer les actions autorisées en toute sécurité. |
| Agent | Identité d'entité de service ou de compte de service utilisée pour effectuer des opérations automatisées dans l'environnement HDS. |
| Label d'agent | Une balise incluse dans les journaux HDS qui identifie la source et le type spécifiques d'une demande entrante, permettant ainsi un audit efficace du contrôle d'accès. |
| Accès délégué | Un compte de service autorisé qui fait une demande pour un utilisateur en particulier, dans les limites des autorisations de cet utilisateur. Apparaît sous la forme d'une demande de délégation : agent -> identifiant utilisateur. |
Dans ce contexte, le terme « agent » fait spécifiquement référence aux identités des services HDS. Cela n'a rien à voir avec les agents alimentés par l'IA utilisés dans les autres fonctionnalités de Webex.
Une demande n'est traitée que lorsqu'elle provient de :
- un utilisateur authentifié de votre organisation, ou
- un compte de service enregistré et autorisé par votre organisation.
Vue d'ensemble des champs de journalisation
| Terrain | Ce que cela représente |
|---|---|
| Horodatage | Date et heure de l'opération. |
| kms.data.method | L'opération KMS a été effectuée (par exemple, récupérer). |
| kms.data.org/ld | Identifiant de l'organisation. |
| KMS.Data.HttpUserAgent | Le client ou le service qui fait la demande. |
| WEBEX_TRACKINGID | Identifiant de suivi unique pour la demande. |
| kms.data.urihost/kms.data.uri | L'hôte et la ressource visés par la demande. |
| kms.data.userld | L'identité qui exécute la demande, y compris le label de l'agent. |
| kms.response.success | Indique si la demande a abouti. |
Types de demandes - Référence rapide
| Marquer dans le journal | Label d'agent | Ce que cela représente | Opérations typiques |
|---|---|---|---|
| Type d'utilisateur : UserAgent | Agent utilisateur | Un compte de service fiable lié à un flux de travail utilisateur, limité à votre organisation. | Créer/gérer des clés pour un processus utilisateur. |
| o-agent <id>-> identifiant utilisateur <id> | Agent de l'organisation | Un compte de service sécurisé au niveau de l'organisation utilisant un accès délégué. | Extraction des données Webex par le responsable de la conformité, intégrations de calendriers. |
| c-agent <id>-> identifiant utilisateur <id> | Agent du cloud | Un service Webex qui effectue une demande déléguée pour un utilisateur en particulier. | Analyse antivirus, aperçu du contenu, transcriptions. |
| agent C <id> | Agent du cloud | Un service Webex effectuant une demande déléguée. | Clés ECDHE/de session. |
| UUID de l'utilisateur final | - | L'utilisateur final authentifié qui interagit avec HDS. | Un utilisateur récupère sa propre clé. |
Types de demandes : en détail
Les étiquettes des agents classent la source de la demande et aident à déterminer les contrôles d'accès appropriés. Les exemples suivants montrent les différents types de demandes et les étiquettes d'agent qui y sont associées.
-
Agent utilisateur (UserAgent) :
Il s'agit de comptes de service Webex fiables associés à des flux de travail utilisateurs spécifiques et qui concernent l'organisation cliente. Ils sont généralement utilisés lorsqu'un service crée et gère des clés pour le compte d'un flux de travail utilisateur.
Exemple de journal :
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>Indicateur clé : L'exemple de journal montre qu'un agent utilisateur (
UserAgent) effectue des opérations de collecte de ressources pour un service Webex. -
Agent de l'organisation (co-agent) :
Ces comptes de service Webex fiables sont autorisés à effectuer des opérations déléguées pour le compte des utilisateurs de HDS. Limités à l'organisation cliente, ces comptes exécutent des opérations au niveau de l'organisation. Cette fonctionnalité prend en charge plusieurs fonctionnalités, telles que la possibilité pour les responsables de la conformité de rechercher et d'extraire les données de communication Webex, garantissant ainsi la conformité de l'organisation avec les normes réglementaires, de sécurité et de confidentialité des données.
Exemple de journal :
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>Indicateur clé : L'exemple de journal montre qu'un agent de l'organisation (
o-agent 9 [~] c) récupère une clé pour le compte de l'utilisateur (4 [~] b) pour un service Webex. - Cloud Agent (agent principal) :
Ces comptes de service Webex fiables sont autorisés à effectuer des opérations sur HDS via un accès délégué pour le compte d'un utilisateur. Ils prennent en charge des fonctionnalités essentielles, telles que les enregistrements après les réunions, les transcriptions, la détection des programmes malveillants et les aperçus de fichiers, qui améliorent l'expérience utilisateur globale.
Bien que les agents du cloud puissent être désactivés en modifiant l'ISO, les clients doivent savoir que cela entraînera la perte de fonctionnalités, telles que les enregistrements après les réunions, les transcriptions, les aperçus de fichiers et l'analyse automatique des programmes malveillants dans Webex App Spaces. Pour plus d'informations, consultez la section Désactiver les agents cloud.
Exemple de journal :
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>Indicateur clé : L'exemple de journal montre qu'un agent cloud (
c-agent b [~] c) récupère une clé de contenu pour le compte de l'utilisateur (9 [~] c). -
Interaction directe avec l'utilisateur final :
Un utilisateur authentifié qui interagit directement avec HDS.
Exemple de journal :
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=trueIndicateur clé : L'exemple de journal montre qu'un utilisateur final (
c [~] f) récupère une clé et interagit directement avec HDS.
Surveillez la santé de Hybrid Data Security
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu de gauche de l'écran. |
| 2 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Modifier les paramètres. La page des paramètres de sécurité des données hybrides apparaît.
|
| 3 |
Dans la section Notifications par e-mail, saisissez une ou plusieurs adresses e-mail séparées par des virgules, puis appuyez sur Entrée. |
Gérer le déploiement du HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de Hybrid Data Security.
Définir le calendrier de mise à niveau du cluster
Pour définir le calendrier des mises à niveau :
| 1 |
Connectez-vous au Partner Hub. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Configurer |
| 4 |
Sur la page Ressources sur la sécurité hybride des données, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page des paramètres du cluster, sous Calendrier des mises à niveau, sélectionnez l'heure et le fuseau horaire pour le calendrier de mise à niveau. Remarque : sous le fuseau horaire, la date et l'heure de la prochaine mise à niveau disponible sont affichées. Vous pouvez reporter le surclassement au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Modifier la configuration des nœuds
-
Modifier les certificats X.509 pour cause d'expiration ou pour d'autres raisons.
Nous ne sommes pas favorables à la modification du nom de domaine CN d'un certificat. Le domaine doit correspondre au domaine d'origine utilisé pour enregistrer le cluster.
-
Mettre à jour les paramètres de la base de données pour passer à une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne prenons pas en charge la migration de données de PostgreSQL vers Microsoft SQL Server, ou l'inverse. Pour changer d'environnement de base de données, lancez un nouveau déploiement d'Hybrid Data Security.
-
Création d'une nouvelle configuration pour préparer un nouveau centre de données.
De plus, pour des raisons de sécurité, Hybrid Data Security utilise les mots de passe des comptes de service qui ont une durée de vie de neuf mois. Une fois que l'outil HDS Setup a généré ces mots de passe, vous les déployez sur chacun de vos nœuds HDS dans le fichier de configuration ISO. Lorsque les mots de passe de votre organisation arrivent à expiration, l'équipe Webex vous demande de réinitialiser le mot de passe du compte de votre machine. (L'e-mail contient le texte « Utilisez l'API du compte de la machine pour mettre à jour le mot de passe. ») Si vos mots de passe n'ont pas encore expiré, l'outil vous propose deux options :
-
Réinitialisation logicielle : l'ancien et le nouveau mot de passe fonctionnent tous deux pendant 10 jours au maximum. Profitez de cette période pour remplacer progressivement le fichier ISO sur les nœuds.
-
Réinitialisation matérielle : les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans avoir été réinitialisés, cela aura un impact sur votre service HDS, qui nécessitera une réinitialisation matérielle immédiate et le remplacement du fichier ISO sur tous les nœuds.
Suivez cette procédure pour générer un nouveau fichier ISO de configuration et l'appliquer à votre cluster.
Avant de commencer
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, lancez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub avec les droits d'administrateur complets du partenaire.
Si vous n'avez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir l'outil Run HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker en 1.e. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous avez besoin d'une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L'ISO contient la clé principale qui crypte la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l'ISO lorsque vous apportez des modifications à la configuration, y compris les informations d'identification de la base de données, les mises à jour des certificats ou les modifications de la politique d'autorisation.
| 1 |
À l'aide de Docker sur une machine locale, lancez l'outil de configuration HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle machine virtuelle pour le nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer d'autres nœuds. |
| 3 |
Pour les nœuds HDS existants qui exécutent l'ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à tour de rôle, en mettant à jour chaque nœud avant de désactiver le suivant :
Pour les déploiements VMware :
Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
| 4 |
Répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou que vous vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex cloud. Si le serveur DNS du nœud ne parvient pas à résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution du DNS externe bloqué.
Si vos nœuds sont capables de résoudre des noms DNS publics via des serveurs DNS internes, vous pouvez désactiver ce mode en relançant le test de connexion proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud Hybrid Data Security (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'identification d'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Accédez à la vue d'ensemble (la page par défaut). Lorsqu'elle est activée, la résolution DNS externe bloquée est réglée sur Oui. |
| 3 |
Accédez à la page Trust Store & Proxy. |
| 4 |
Cliquez sur Vérifier la connexion au proxy. Si vous voyez un message indiquant que la résolution du DNS externe a échoué, que le nœud n'a pas pu atteindre le serveur DNS et qu'il restera dans ce mode. Sinon, une fois que vous aurez redémarré le nœud et que vous serez retournée à la page d'aperçu, la résolution DNS externe bloquée devrait être réglée sur Non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez l'interface de gestion de l'hyperviseur lors de votre déploiement pour localiser et éteindre la machine virtuelle HDS. |
| 2 |
Supprimer le nœud : |
| 3 |
À l'aide de l'interface de gestion de l'hyperviseur lors de votre déploiement, localisez et supprimez la machine virtuelle HDS. Si vous ne supprimez pas la machine virtuelle, pensez à démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Datacenter de secours pour la reprise après sinistre
Pendant le déploiement, vous avez mis en place un centre de données de secours sécurisé. En cas de sinistre dans un centre de données, vous pouvez faire échouer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées entre elles, ce qui réduira le temps nécessaire au basculement.
Les nœuds Hybrid Data Security actifs doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Configurer un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours devrait refléter l'environnement de production des machines virtuelles et une base de données PostgreSQL ou Microsoft SQL Server de sauvegarde. Par exemple, si la production possède 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde devrait en comporter 3. (Voir Standby Data Center for Disaster Recovery pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds de cluster actifs et passifs.
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes indiquées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO d'origine du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page des paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais il ne gérera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de cryptage principale pour le contenu de la base de données. Restreignez l'accès aux seuls administrateurs d'Hybrid Data Security qui doivent apporter des modifications à la configuration. |
| 6 |
Montez le fichier ISO de configuration : Avant de monter la nouvelle configuration ISO :
Pour les déploiements VMware : Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
| 7 |
Allumez le nœud HDS et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 8 |
Répétez le processus pour chaque nœud du centre de données de secours. Consultez les syslogs pour vérifier que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les Syslogs. |
Que faire ensuite
Après avoir configuré le mode passif dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans le configurer en mode passif et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans mode passif configuré peut faciliter un processus de basculement rapide lors de la reprise après sinistre. Consultez Disaster Recovery using Standby Data Center pour la procédure de basculement détaillée.
Reprise après sinistre à l'aide du centre de données de secours
Le service le plus essentiel fourni par votre cluster Hybrid Data Security est la création et le stockage de clés utilisées pour crypter les messages et autres contenus stockés sur le cloud Webex. Pour chaque utilisateur de l'organisation affecté à Hybrid Data Security, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple aux membres d'un espace de conversation.
Comme le cluster remplit la fonction essentielle qui consiste à fournir ces clés, il est impératif qu'il continue de fonctionner et que des sauvegardes appropriées soient effectuées. La perte de la base de données Hybrid Data Security ou de l'ISO de configuration utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu client. Les pratiques suivantes sont obligatoires pour éviter de telles pertes :
Si un sinistre rend indisponible le déploiement du HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes indiquées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page des paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de cryptage principale pour le contenu de la base de données. Restreignez l'accès aux seuls administrateurs d'Hybrid Data Security qui doivent apporter des modifications à la configuration. |
| 6 |
Montez le fichier ISO de configuration : Avant de monter la nouvelle configuration ISO :
Pour les déploiements VMware : Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
| 7 |
Allumez le nœud HDS et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 8 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez la sortie Syslog pour vérifier que les nœuds du centre de données de secours ne sont pas en mode passif. « KMS configuré en mode passif » ne devrait pas apparaître dans les syslogs. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration du HDS
La configuration HDS standard fonctionne avec l'ISO monté. Mais certains clients préfèrent ne pas laisser les fichiers ISO montés en continu. Vous pourrez démonter le fichier ISO une fois que tous les nœuds HDS auront adopté la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour modifier la configuration. Lorsque vous créez une nouvelle ISO ou que vous mettez à jour une ISO via l'outil de configuration, vous devez monter l'ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou une version ultérieure.
|
Détachez le fichier ISO de configuration.
Pour les déploiements VMware :
Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
Afficher les alertes et résoudre les problèmes
Un déploiement hybride de sécurité des données est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles ou si le cluster fonctionne si lentement que les demandes expirent. Si les utilisateurs n'arrivent pas à accéder à votre cluster Hybrid Data Security, ils présentent les symptômes suivants :
-
Impossible de créer de nouveaux espaces (impossible de créer de nouvelles clés)
-
Les messages et les titres des espaces ne sont pas déchiffrés pour :
-
Nouveaux utilisateurs ajoutés à un espace (impossible de récupérer les clés)
-
Utilisateurs existants dans un espace utilisant un nouveau client (impossible de récupérer les clés)
-
-
Les utilisateurs existants d'un espace continueront à fonctionner correctement tant que leurs clients disposeront d'un cache contenant les clés de cryptage
Il est important que vous surveilliez correctement votre cluster Hybrid Data Security et que vous répondiez rapidement à toutes les alertes afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de Hybrid Data Security, Partner Hub envoie des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse e-mail configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez s'il y a des erreurs dans la base de données ou des problèmes de réseau local. |
|
Échec de connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les bonnes informations d'identification du compte de service ont été utilisées lors de la configuration des nœuds. |
|
Échec d'accès au service cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex, comme indiqué dans Exigences de connectivité externe. |
|
Renouvellement de l'inscription au service cloud. |
L'inscription aux services cloud a été supprimée. Le renouvellement de l'inscription est en cours. |
|
L'inscription au service cloud a été supprimée. |
L'inscription aux services cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez le HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation de service configuré. La cause la plus probable est que le CN du certificat a été récemment modifié et qu'il est désormais différent de celui utilisé lors de la configuration initiale. |
|
Impossible de s'authentifier auprès des services cloud. |
Vérifiez l'exactitude et l'éventuelle expiration des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de keystore local. |
Vérifiez l'intégrité et l'exactitude du mot de passe dans le fichier keystore local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat de serveur et confirmez qu'il a été émis par un organisme de confianceCertificate Authority. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès du réseau local aux services cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration du montage ISO sur Virtual Host. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées |
Configuration complète en créant des CMK pour les organisations de locataires récemment ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées |
Terminez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Résoudre les problèmes liés à la sécurité hybride des données
| 1 |
Connectez-vous au Partner Hub. |
| 2 |
Dans le menu de gauche de l'écran, sélectionnez Services. |
| 3 |
Dans la section Hybrid, recherchez Hybrid Data Security et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour détecter les éventuelles alertes et corriger les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Consultez la sortie du serveur Syslog pour connaître l'activité liée au déploiement d'Hybrid Data Security. Filtrez en fonction de mots tels que « Avertissement » et « Erreur » pour vous aider à résoudre les problèmes. |
| 6 |
Contactez le support Cisco. |
API pour développeurs HDS
Les API HDS Developer permettent de récupérer des données d'analyse et de surveillance, ainsi que de résoudre les problèmes liés à vos déploiements HDS via le portail Webex pour les développeurs. Les API sont disponibles sur https://developer.webex.com/messaging/docs/api/v1/hds.
Problèmes connus liés à la sécurité des données hybrides
-
Si vous fermez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en fermant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du keystore, les utilisateurs de l'application Webex des organisations clientes ne peuvent plus utiliser les espaces de leur liste de personnes créée à l'aide des clés de votre KMS. Nous n'avons pas de solution ni de correctif à ce problème pour le moment et vous conseillons vivement de ne pas fermer vos services HDS une fois qu'ils gèrent des comptes utilisateurs actifs.
-
Un client qui possède déjà une connexion ECDH à un KMS maintient cette connexion pendant un certain temps (probablement une heure).
Déployez et configurez HDS sur NFVIS
Suivez les procédures ci-dessous pour déployer HDS sur un hyperviseur NFVIS. Le processus inclut l'installation du HDS OVA, la configuration de la machine virtuelle, le montage de l'ISO de configuration et la vérification du déploiement.
Installez le HDS Host OVA sur NFVIS
Avant de commencer
- Répondez aux prérequis en matière de sécurité hybride des données et téléchargez la dernière version de HDS OVA.
Renommez le fichier au format<DD-MMM-YYYY>hds- .ova pour le suivi ; par exemple, hds-26-aug-2026.ova. - Créez l'ISO de configuration HDS et stockez-la en toute sécurité. L'ISO contient la clé de cryptage principale.
- Collectez l'adresse IP statique, le masque de sous-réseau, la passerelle, le serveur DNS, le serveur NTP et le nom du réseau NFVIS du nœud.
- Vérifiez que vous disposez d'un accès administrateur NFVIS et que vous disposez d'une capacité suffisante pour allouer au moins 4 vCPU, 8 Go de mémoire et 30 Go de stockage par nœud HDS.
| 1 |
Connectez-vous à l'interface NFVIS et accédez à Configuration > Machine virtuelle > Images > Référentiel d'images. |
| 2 |
Choisissez l'option LOCAL et chargez votre fichier HDS OVA renommé (par exemple, hds-26-aug-2026.ova). |
| 3 |
Définissez le type de charge de travail de la machine virtuelle sur Appel et le type de machine virtuelle sur ECP/VIDEO MESH, puis sélectionnez Télécharger le fichier. |
| 4 |
Suivez la progression du téléchargement jusqu'à la fin. |
| 5 |
Vérifiez que l'OVA chargé est marqué comme actif et que le NFVIS a créé avec succès le profil OVA personnalisé associé. |
Configurer la machine virtuelle Hybrid Data Security sur NFVIS
| 1 |
Accédez à Configuration > Déployer et sélectionnez ECP/VIDEO MESH dans le menu Select VM. |
| 2 |
Entrez un nom de machine virtuelle unique, sélectionnez l'image HDS précédemment téléchargée et choisissez le profil OVA personnalisé correspondant dans la section Détails du déploiement. |
| 3 |
Sélectionnez DÉPLOYER et attendez la notification de déploiement réussie. |
| 4 |
Accédez à Configuration > Machine virtuelle > Gérer pour vérifier que la nouvelle machine virtuelle HDS est active. |
| 5 |
Retournez à Configuration > Déployer, sélectionnez la machine virtuelle HDS et utilisez la liste déroulante des interfaces réseau pour la connecter au réseau WAN requis. |
| 6 |
Sélectionnez DEPLOY pour appliquer les modifications de configuration réseau. |
Téléchargez et montez l'ISO de configuration HDS
| 1 |
Assurez-vous que le fichier ISO de configuration HDS est chargé dans le référentiel d'images via Configuration > Machine virtuelle > Images > Référentiel d'images avant de continuer. |
| 2 |
Ouvrez le terminal pour la machine virtuelle HDS via Configuration > Machine virtuelle > Gérer et effectuez la connexion initiale à l'aide des informations d'identification par défaut. Nom d'utilisateur : admin
Mot de passe : ciscosystems
|
| 3 |
Modifiez les informations d'identification de l'administrateur lorsque vous y êtes invitée. |
| 4 |
Configurez l'adresse IP statique, le masque de sous-réseau, la passerelle, les paramètres DNS et NTP du nœud à l'aide de l'option Modifier la configuration. |
| 5 |
Arrêtez la machine virtuelle HDS pour faciliter le montage. |
| 6 |
Ouvrez le menu d'action de la machine virtuelle, sélectionnez le CD-ROM, puis choisissez l'ISO de configuration du HDS pour le connecter à la machine virtuelle. |
| 7 |
Allumez la machine virtuelle et vérifiez qu'elle démarre correctement avec la configuration ISO montée. |
Que faire ensuite
Si nécessaire, passez à Configurer le nœud pour l'intégration du proxy, puis enregistrez le premier nœud du cluster.
Déployez et configurez HDS sur Nutanix
Suivez les procédures ci-dessous pour déployer HDS sur un hyperviseur Nutanix. Le processus inclut l'installation du HDS OVA, la configuration de la machine virtuelle, le montage de l'ISO de configuration et la vérification du déploiement.
Installez le HDS Host OVA sur Nutanix
Suivez cette procédure pour importer le fichier HDS OVA dans Nutanix.
| 1 |
Téléchargez la dernière version de HDS OVA. |
| 2 |
Dans Prism Central, accédez à Infrastructure > Compute > OVA. |
| 3 |
Sélectionnez Télécharger OVA. |
| 4 |
Choisissez la source OVA et sélectionnez le cluster cible. |
| 5 |
Donnez un nom unique et reconnaissable à l'OVA téléchargé. Incluez la version ou la date de mise en ligne afin que les administrateurs puissent la distinguer des anciennes versions d'OVA. |
| 6 |
Terminez le téléchargement. |
| 7 |
Dans la liste OVA, vérifiez que le format de disque est affiché en tant que VMDK. |
Créez la machine virtuelle hybride de sécurité des données sur Nutanix
Suivez cette procédure pour créer la machine virtuelle HDS.
| 1 |
Dans Prism Central, accédez à Infrastructure > Compute > OVA. |
| 2 |
Sélectionnez l'OVA HDS téléchargé avec succès. |
| 3 |
Sélectionnez Déployer en tant que machine virtuelle. |
| 4 |
Entrez un nom de machine virtuelle unique et reconnaissable et sélectionnez le cluster cible. |
| 5 |
Vérifiez que l'OVA a renseigné les propriétés de machine virtuelle suivantes :
|
| 6 |
Cliquez sur Suivant. L'assistant Ressources s'ouvre. |
| 7 |
Dans le tableau Ressources > Disques, vérifiez que le disque connecté a une taille de 30 Go. |
| 8 |
Connectez le sous-réseau ou le VLAN approprié à l'aide de l'option Attach to Subnet et réglez l'état de la connexion réseau sur Connecté. Si l'assistant contient une entrée réseau vide ou par défaut indiquant Aucun réseau trouvé pour le réseau des machines virtuelles, supprimez cette entrée. Une entrée non valide peut empêcher l'assistant de continuer même une fois que le bon sous-réseau a été connecté. |
| 9 |
Sélectionnez UEFI comme mode BIOS et cliquez sur Suivant. L'assistant de gestion s'ouvre. |
| 10 |
Laissez les catégories vides, sauf si l'organisation l'exige. |
| 11 |
Sélectionnez le fuseau horaire approprié. |
| 12 |
Sélectionnez Aucune personnalisation sur la carte de personnalisation des invités et cliquez sur Suivant. |
| 13 |
Passez en revue les paramètres et sélectionnez Créer une machine virtuelle. |
Téléchargez et montez l'ISO de configuration HDS
| 1 |
Dans Prism Central, allez sur Infrastructure > Compute > VMs. |
| 2 |
Sélectionnez la machine virtuelle HDS déployée. Dans l'onglet Résumé, sélectionnez Power Operations > Power On. Attendez quelques minutes que la machine virtuelle démarre. |
| 3 |
Cliquez sur Lancer la console. Effectuez la connexion initiale à l'aide des informations d'identification par défaut. Nom d'utilisateur : admin
Mot de passe : ciscosystems
|
| 4 |
Modifiez les informations d'identification de l'administrateur lorsque vous y êtes invitée. |
| 5 |
Configurez l'adresse IP statique, le masque de sous-réseau, la passerelle, les paramètres DNS et NTP du nœud à l'aide de l'option Modifier la configuration. |
| 6 |
Éteignez la machine virtuelle HDS avant de connecter l'ISO. Accédez à Infrastructure > Calcul > Machines virtuelles et sélectionnez la machine virtuelle HDS appropriée. Dans l'onglet Résumé, sélectionnez Power Operations > Power Off et attendez que la machine virtuelle soit complètement arrêtée. |
| 7 |
Ouvrez l'onglet Disques de la machine virtuelle. |
| 8 |
Si une ancienne image ISO de configuration est jointe, sélectionnez uniquement son entrée sur CD-ROM et cliquez sur Supprimer. Dans l'onglet Disques, si le champ Source est vide pour toutes les entrées de disque virtuel, cochez les cases correspondantes et cliquez sur Supprimer. |
| 9 |
Sélectionnez Attach Disk et configurez les valeurs suivantes :
|
| 10 |
Enregistrez la configuration et vérifiez que la nouvelle image ISO apparaît sur le CD-ROM joint à la machine virtuelle. |
| 11 |
Dans l'onglet Résumé de la machine virtuelle, sélectionnez Power Operations > Power On et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
Que faire ensuite
Si nécessaire, passez à Configurer le nœud pour l'intégration du proxy, puis enregistrez le premier nœud du cluster.
Migrer les nœuds HDS entre les hyperviseurs pris en charge
Suivez cette procédure pour déplacer les nœuds HDS d'un hyperviseur compatible à un autre. Les machines virtuelles HDS existantes ne sont pas migrées directement entre les hyperviseurs. Déployez plutôt des nœuds de remplacement sur l'hyperviseur cible et enregistrez-les auprès du cluster HDS existant ou nouveau.
Avant de commencer
- Sauvegardez la base de données HDS et l'ISO de configuration actuelle.
- Vérifiez que l'hyperviseur cible et les hôtes virtuels répondent aux exigences de déploiement du HDS.
- Vérifiez que le cluster HDS existant est en bon état et que les nœuds restants peuvent continuer à gérer le trafic pendant que vous remplacez un nœud.
- Déterminez si chaque nœud de remplacement réutilisera l'adresse IP et le nom de domaine complet du nœud source ou utilisera de nouveaux paramètres réseau.
- Utilisez l'ISO de configuration actuelle et la base de données HDS existante pour les nœuds de remplacement.
Si le déménagement modifie également la configuration du centre de données actif, du serveur de base de données ou du HDS, consultez Modifier la configuration des nœuds et le centre de données de secours pour la reprise après sinistre avant de continuer.
| 1 |
Sélectionnez le nœud HDS à remplacer sur l'hyperviseur source. Laissez tous les autres nœuds actifs et enregistrés. |
| 2 |
Préparez la configuration réseau pour le nœud de remplacement :
Ne faites pas fonctionner le nœud source et le nœud de remplacement en même temps s'ils utilisent la même configuration réseau. |
| 3 |
Créez et configurez la machine virtuelle de remplacement sur l'hyperviseur cible. Utilisez la dernière version de HDS OVA et suivez les procédures de déploiement applicables à cet hyperviseur. |
| 4 |
Configurez les paramètres réseau de la machine virtuelle de remplacement en fonction de la configuration sélectionnée à l'étape 2. Suivez les instructions de configuration de l'hyperviseur cible. |
| 5 |
Joignez la configuration ISO actuelle du HDS. Si votre déploiement utilise un proxy, configurez-le et faites confiance comme décrit dans Configuration du nœud HDS pour l'intégration du proxy. |
| 6 |
Enregistrez le nœud de remplacement auprès du cluster existant ou d'un nouveau cluster. Voir Créer et enregistrer d'autres nœuds. |
| 7 |
Vérifiez que le nœud de remplacement est en bon état, qu'il est connecté au cloud Webex et qu'il gère le trafic HDS. Résolvez toutes les alarmes avant de continuer. |
| 8 |
Si le nœud source fonctionne toujours parce que le nœud de remplacement utilise une nouvelle configuration réseau, éteignez-le et désenregistrez-le. Voir Supprimer un nœud. |
| 9 |
Répétez ces étapes pour chaque nœud restant sur l'hyperviseur source. Ne remplacez pas un autre nœud tant que le cluster n'est pas en bon état. |
| 10 |
Une fois que tous les nœuds de remplacement seront stables et que la restauration ne sera plus nécessaire, supprimez les machines virtuelles d'origine de l'hyperviseur source. Si vous conservez temporairement une machine virtuelle d'origine, laissez-la éteinte et démontez sa configuration ISO. |
Que faire ensuite
Après avoir enregistré les nœuds de remplacement, vérifiez qu'ils sont sains et que le déploiement HDS gère le trafic. Si le déploiement est correct, supprimez tous les nœuds sources encore enregistrés sur l'hyperviseur d'origine. Le cas échéant, suivez les étapes ci-dessus pour remplacer les nœuds dans la configuration de reprise après sinistre.
Exécutez l'outil HDS Setup à l'aide de Podman Desktop
Podman est un outil de gestion de conteneurs gratuit et open source qui permet de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé sur https://podman-desktop.io/downloads.
-
L'outil HDS Setup fonctionne comme un conteneur Docker sur une machine locale. Pour y accéder, téléchargez et lancez Podman sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec tous les droits d'administrateur pour votre organisation.
Si l'outil HDS Setup fonctionne derrière un proxy dans votre environnement, indiquez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale qui chiffre la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications à la configuration, comme suit :
-
Informations d'identification de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous envisagez de chiffrer les connexions aux bases de données, configurez votre déploiement de PostgreSQL ou SQL Server pour le protocole TLS.
Le processus de configuration de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
Sur la ligne de commande de votre machine, entrez la commande appropriée à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : Cette étape efface les images précédentes de l'outil de configuration HDS. S'il n'y a aucune image précédente, cela renvoie un message d'erreur que vous pouvez ignorer. |
| 2 |
Pour vous connecter au registre d'images Docker, saisissez ce qui suit : |
| 3 |
À l'invite du mot de passe, entrez ce hash : |
| 4 |
Téléchargez la dernière image stable correspondant à votre environnement : Dans un environnement normal : Dans les environnements FedRAMP : |
| 5 |
Une fois le pull terminé, entrez la commande appropriée à votre environnement :
Lorsque le conteneur fonctionne, vous voyez « Le serveur Express écoute sur le port 8080 ». L'outil de configuration ne permet pas de se connecter à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. |
Que faire ensuite
Désactiver les agents du cloud
Les agents cloud (c-agent) sont des comptes de service Webex fiables qui effectuent des opérations sur HDS par le biais d'un accès délégué au nom d'un utilisateur afin d'améliorer l'expérience utilisateur globale. La désactivation des agents cloud empêche les services Webex d'accéder aux clés HDS locales.
La désactivation des agents cloud entraînera la perte de fonctionnalités telles que les enregistrements après les réunions, les transcriptions, les aperçus de fichiers et l'analyse automatique des programmes malveillants dans Webex App Spaces.
Suivez les étapes ci-dessous pour désactiver les agents cloud lors de votre déploiement HDS.
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes indiquées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO d'origine du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés. |
| 3 |
Sur la page des paramètres avancés, ajoutez la configuration ci-dessous pour désactiver les agents du cloud. Cela garantira que les agents du cloud ne seront pas autorisés à gérer le trafic HDS.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 5 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de cryptage principale pour le contenu de la base de données. Restreignez l'accès aux seuls administrateurs d'Hybrid Data Security qui doivent apporter des modifications à la configuration. |
| 6 |
Montez le fichier ISO de configuration : Avant de monter la nouvelle configuration ISO :
Pour les déploiements VMware : Pour les déploiements NFVIS :
Pour les déploiements de Nutanix :
|
| 7 |
Allumez le nœud HDS et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 8 |
Répétez le processus pour chaque nœud de votre déploiement HDS. Vérifiez que les agents cloud sont désactivés en consultant les syslogs pour y trouver l'entrée suivante : « Mise à jour désactivée de l'agent cloud ». |
Déplacer le déploiement HDS à locataire unique existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-tenant dans Partner Hub
La conversion d'un déploiement HDS à locataire unique existant d'une organisation partenaire géré dans Control Hub à un déploiement HDS multi-tenant géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter au Partner Hub, enregistrer les nœuds, activer le HDS multitenant et ajouter des clients à votre cluster.
Le terme « locataire unique » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez le HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybrid. Sur la carte Hybrid Data Security, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler la page vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Supprimer. |
| 8 |
Cliquez sur Confirmer la suppression pour annuler l'enregistrement du cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désenregistrement des nœuds et la suppression des clusters, la configuration de la carte Hybrid Data Service sur Control Hub sera affichée en bas. |
Activez le HDS multitenant pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Tous les prérequis mentionnés dans Exigences relatives à la sécurité hybride des données multi-locataires s'appliquent ici. En outre, assurez-vous que la même base de données et les mêmes certificats sont utilisés lors du passage au Multi-Tenant HDS.
| 1 |
Connectez-vous au Partner Hub. Cliquez sur Services dans le volet de gauche. Utilisez la même ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs lors du précédent déploiement HDS existant sont toujours accessibles dans la nouvelle configuration multi-tenant. |
| 2 |
Dans la section Hybrid, recherchez la carte Hybrid Data Security et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de Créer une carte de cluster, saisissez le nom du cluster auquel vous souhaitez attribuer votre nœud Hybrid Data Security. Nous vous recommandons de nommer un cluster en fonction de la position géographique de ses nœuds. Exemples : « San Francisco », « New York » ou « Dallas » |
| 5 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine complet (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés lors de la configuration de la machine virtuelle hybride de sécurité des données. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur le Webex.
|
| 6 |
Cliquez sur Accéder au nœud. Au bout de quelques instants, vous êtes redirigée vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests sont réussis, la page Autoriser l'accès au nœud hybride de sécurité des données apparaît. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud hybride de sécurité des données, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur Webex Cloud. Sur la page Hybrid Data Security, le nouveau cluster contenant le nœud que vous avez enregistré est affiché dans l'onglet Ressources. Le nœud téléchargera automatiquement les derniers logiciels depuis le cloud.
|
| 8 |
Accédez à l'onglet Paramètres, puis cliquez sur Activer sur la carte de statut HDS.
Le message HDS activé apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients assignés. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur OK en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui permet de créer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il existe d'autres moyens de le faire, mais nous ne soutenons ni ne faisons de promotion d'une manière ou d'une autre.
-
Si vous choisissez d'utiliser OpenSSL, nous vous proposons cette procédure à titre indicatif pour vous aider à créer un fichier répondant aux exigences de certification X.509 dans Exigences de certification X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement compatible. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créez une clé privée.
-
Commencez cette procédure lorsque vous recevrez le certificat de serveur de votre Certificate Authority (CA).
| 1 |
Lorsque vous recevrez le certificat de serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de bundle de certificats appelé
|
| 4 |
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Revenir à la page Compléter les prérequis pour la sécurité hybride des données. Vous utiliserez le fichier hdsnode.p12
et le mot de passe que vous avez défini pour celui-ci dans Create a Configuration ISO for the HDS Hosts.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expirera.
Trafic entre les nœuds HDS et le cloud
Collecte de métriques et trafic sortant
Les nœuds Hybrid Data Security envoient certains indicateurs au cloud Webex. Il s'agit notamment des indicateurs du système concernant le nombre maximum de blocs, le tas utilisé, la charge du processeur et le nombre de threads ; des indicateurs relatifs aux threads synchrones et asynchrones ; des indicateurs relatifs aux alertes concernant un seuil de connexions chiffrées, de latence ou la longueur de la file d'attente des requêtes ; des indicateurs relatifs à la banque de données ; et des indicateurs de connexion chiffrés. Les nœuds envoient des informations clés cryptées via un canal hors bande (distinct de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants depuis le cloud Webex :
-
Demandes de cryptage émanant de clients, qui sont acheminées par le service de cryptage
-
Mises à niveau du logiciel Node
Configurer les proxies Squid pour une sécurité hybride des données
Websocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions Websocket (wss :) requises par Hybrid Data Security. Ces sections expliquent comment configurer les différentes versions de Squid afin d'ignorer wss : traffic pour le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf :
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé Hybrid Data Security avec succès en ajoutant les règles suivantes à squid.conf. Ces règles sont susceptibles d'être modifiées au fur et à mesure que nous développons des fonctionnalités et mettons à jour le cloud Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allFlux de tâches de désactivation du HDS multi-tenant
Suivez ces étapes pour désactiver complètement le Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des locataires retirés du HDS. . |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de Hybrid Data Security et cliquez sur Désactiver le HDS sur la carte de statut du HDS. |
Questions fréquemment posées
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales des clients (CMK) sont stockées dans la base de données et cryptées à l'aide de la clé principale, qui est stockée dans l'ISO.
Q. Est-ce qu'une seule clé est utilisée pour crypter toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont cryptées à l'aide de sa propre clé CMK (clé principale du client).
Q. Que se passera-t-il si je désactive le HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement touchées. Le contenu existant dans les espaces sera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces créés précédemment et les espaces individuels.
Q. Une fois le CMK généré pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à tirer parti de Multi-Tenant HDS ?
R. Il peut y avoir un délai maximum de 24 heures pour que le cache du cloud soit actualisé.
Q. Pourquoi ne vois-je pas la liste des clients lorsque je clique sur le bouton « Ajouter des clients » dans Partner Hub ?
R. Cela signifie généralement qu'aucune organisation cliente ne répond aux exigences Cisco Webex de licence.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème réseau touche tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement touchées. Le contenu existant n'est accessible que jusqu'à l'expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles cryptées à l'aide de la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont cryptées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux clés CMK des clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles être situées dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de renvoyer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de renvoyer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser Multi-Tenant HDS exclusivement pour gérer ses clients ?
R. Non, cela n'est pas pris en charge pour le moment. Le support de cette fonctionnalité est prévu pour le futur.
Q. Comment un partenaire peut-il vérifier que son organisation utilise le HDS multi-tenant pour le cryptage ?
A. Connectez-vous au Partner Hub. Accédez à Services > Hybrid Data Security > Paramètres. Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients désignés utilisent le HDS multi-tenant.
Vous pouvez également consulter vos journaux système pour vérifier que le HDS est activé. Voir Testez votre déploiement hybride de sécurité des données.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil de configuration HDS ?
R. Oui. Pod man Desktop est une alternative open source à Docker Desktop. Voir l'outil Run HDS Setup à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-tenant ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1 000.
Q. Quelle est la configuration réseau requise pour configurer le Multi-Tenant HDS ?
Q. Le Pro Pack pour Control Hub est-il obligatoire pour les organisations partenaires ?
R. Non. Le Pro Pack n'est pas obligatoire pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide sur la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans le HDS multi-tenant ?
R. Non, Multi-Tenant HDS ne prend pas en charge le HSM pour le moment.
Q. Puis-je tester le Multi-Tenant HDS à l'aide d'un certificat autosigné ?
R. Non. Le Multi-Tenant HDS nécessite un certificat obtenu auprès d'une autorité de certification fiable qui répond à toutes les exigences mentionnées dans les exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. L'ISO n'a besoin d'être montée que lors de la modification des configurations ISO. Lorsque vous ajoutez un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales des clients (CMK) à l'aide de l'outil HDS Setup.
Q. Une fois le Multi-Tenant HDS déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser KMS sur site pour la gestion des clés ?
R. Les utilisateurs ne commenceront à utiliser le KMS sur site pour la gestion des clés qu'une fois le HDS activé dans Partner Hub.
Informations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 16 avril 2026 |
|
| 25 mars 2026 |
|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 de SQL Server à la liste des serveurs SQL pris en charge dans Configuration requise pour le serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences relatives à l'hôte virtuel , du flux de tâches de déploiement de la sécurité des données hybrides et de l'installation de l'OVA de l'hôte HDS pour afficher la nouvelle exigence d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte d'état HDS. |
Foire aux questions
Foire aux questions
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont chiffrées avec la clé principale, qui est stockée dans l'ISO.
Q. Une seule clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont chiffrées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement impactées. Le contenu existant dans les espaces restera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que la CMK est générée pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à utiliser HDS multi-tenant ?
R. Le délai maximal pour la mise à jour du cache cloud peut être de 24 heures.
Q. Pourquoi ne vois-je pas de liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans l’Espace partenaires ?
R. Cela signifie généralement qu'il n'existe aucune organisation cliente qui réponde aux exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement impactées. Le contenu existant est accessible uniquement jusqu'à expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles chiffrées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont chiffrées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux CMK clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de transférer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser exclusivement Multi-Tenant HDS pour gérer ses clients ?
R. Non, cette fonctionnalité n'est pas prise en charge actuellement. La prise en charge de cette fonctionnalité est prévue pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à l'Espace Partenaires. Aller à Services > Sécurité des données hybrides > Paramètres . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients assignés utilisent HDS multi-locataire.
Vous pouvez également consulter vos journaux système pour vérifier que HDS est activé. Voir Testez votre déploiement de sécurité des données hybrides.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil d'installation HDS ?
R. Oui. Podman Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-locataire ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour configurer un système HDS multi-locataire ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le pack Pro n'est pas une condition requise pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide concernant la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans un environnement HDS multi-locataire ?
R. Non, actuellement, Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataire nécessite un certificat récupéré auprès d'une autorité de certification de confiance qui répond à toutes les exigences mentionnées dans Exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. Il n'est nécessaire de monter l'ISO que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Q. Une fois le système HDS multi-tenant déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation de HDS dans Partner Hub.
Commencez avec la sécurité des données hybrides multi-locataires
Aperçu de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été la priorité absolue lors de la conception de l'application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, rendu possible par les clients Webex App interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d'un chiffrement de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans l'environnement de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybride multi-locataires permet aux organisations de tirer parti de HDS par l'intermédiaire d'un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire de contrôler entièrement le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité, comme les centres de données, appartiennent au partenaire local de confiance.
Comment la sécurité des données hybride multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre les accès externes, tels que ceux des fournisseurs de services cloud.
- Des partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est proposée par le partenaire.
- Prend en charge les réunions, la messagerie et les appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer leurs clients dans le cadre d'un système de sécurité des données hybride multi-locataire.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à tirer parti de Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elle gère seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus le KMS cloud après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de transférer à nouveau les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur comportent certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients provisionnés par l'administrateur ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration et gestion HDS multi-locataires de bout en bout pour toutes les organisations clientes - Partenaire administrateur complet et droits d'administrateur complets requis.
- Gestion des organisations locataires assignées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud de Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses environnements cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent du ressort de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes appartenant à d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Toutefois, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH distinct pour obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Le déploiement d'une sécurité des données hybride exige un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams .
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparez votre environnement.
La perte totale de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de la clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide après sinistre en cas de catastrophe, telle qu'une panne de disque de base de données ou un sinistre de centre de données.
Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document décrit la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataire :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs des organisations de vos clients d'utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à jour continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans le Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d'entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et une base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par grappe. La présence de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre opération de maintenance sur un nœud. (Le cloud Webex ne met à jour qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous mettez en place un centre de données de secours sécurisé. En cas de sinistre affectant un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds actifs de sécurité des données hybrides doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours doit reproduire l'environnement de production avec des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. (Voir Centre de données de secours pour la reprise après sinistre pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système pour vous assurer que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les journaux système. |
Que faire ensuite
Après avoir configuré passiveMode dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans la configuration passiveMode et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans crochets passiveMode configurés peut faciliter un processus de basculement rapide lors d'une reprise après sinistre. Voir Reprise après sinistre à l'aide d'un centre de données de secours pour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le magasin de clés de sécurité de configuration de nœud HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN—Adresse permettant d'atteindre la machine proxy.
-
Port proxy— Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy— Selon les protocoles pris en charge par votre serveur proxy, choisissez parmi les suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors de l'exécution d'une requête. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant l'envoi d'informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences en matière de sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer la sécurité des données hybride multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre responsable de compte et assurez-vous que la fonctionnalité multi-locataire est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients ne possédant pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification figurant dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (joker). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster doivent répondre aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous utilisez une version antérieure d'ESXi.
-
Configuration minimale requise par serveur : 4 vCPU, 8 Go de mémoire vive et 30 Go d’espace disque local.
Exigences du serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Instances de cluster de basculement Always On et Groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
-
Les nœuds HDS, l'infrastructure Active Directory et le serveur MS SQL doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom de principal de service pour les connexions Kerberos.
L'outil d'installation HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec authentification Kerberos.
exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Instructions depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients ont besoin d'accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22 à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket. (wss:) relations. Pour contourner ce problème, voir Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème survient, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation partenaire a activé la fonctionnalité HDS multi-locataire et obtenez les identifiants d'un compte disposant des droits d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour le Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Virtual Host Requirements. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données principal pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être installé dans le même centre de données sécurisé que les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, mettez en place un environnement de sauvegarde dans un centre de données différent. L'environnement de sauvegarde reproduit l'environnement de production, composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte syslog. À tout le moins, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, le défaut de maintien d'un déploiement opérationnel entraînera la PERTE IRRECTABLE de ce contenu. Les clients Webex App mettent leurs clés en cache ; une panne peut donc ne pas être immédiatement perceptible, mais deviendra évidente avec le temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds Hybrid Data Security doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permette la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation compatible (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d'une licence Docker Desktop. Voir Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Mettre en place un cluster de sécurité des données hybride
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, notamment les paramètres réseau. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console de la machine virtuelle et définissez les informations d'identification. Configurez les paramètres réseau du nœud si vous ne l'avez pas fait lors du déploiement de l'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de certificats de confiance si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybride. |
| 8 |
Créez et enregistrez davantage de nœuds Finalisez la configuration du cluster. |
| 9 |
Activer le HDS multi-locataire sur le Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à jour de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
Créer une configuration ISO pour les hôtes HDS
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d'installation nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous disposez des options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences décrites dans Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre magasin de données clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine exécutant l'outil de configuration HDS ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, c'est le seul paramètre que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à retrouver. | ||||||||||
| 17 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il est impossible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous ne possédons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page ] Sélectionnez un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois l'opération terminée, les détails du modèle s'affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si l'on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la VM. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter pour la première fois à la console de la machine virtuelle du nœud Hybrid Data Security et définir les informations d'identification. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés lors du déploiement de l'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installez l'OVA HDS Host, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le protocole DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne devrait être divulgué qu'aux personnes qui en ont besoin, pour l'accès aux machines virtuelles de sécurité des données hybrides et aux administrateurs qui pourraient avoir besoin d'y apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Consultez la section Assistance proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, suivez ces étapes, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Créer un nouveau cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Centre de partenaires. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créez et enregistrez davantage de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes décrites dans Installez l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle VM en répétant les étapes décrites dans Configurer la VM Hybrid Data Security. |
| 3 |
Sur la nouvelle VM, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Que faire ensuite
Gérer les organisations locataires sur une plateforme de sécurité des données hybride multi-locataires
Activer le HDS multi-locataire sur le hub partenaire
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte État HDS. |
Ajouter les organisations locataires dans le Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybride.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Allez dans l'onglet Clients attribués. L'onglet Clients attribués ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre groupe. |
| 9 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Avant de commencer
Attribuer les clients comme indiqué dans Ajouter les organisations locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour effectuer la gestion des CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de Gestion de la CMK en attente à CMK gérée. |
| 13 |
Si la création de la CMK échoue, une erreur sera affichée. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront plus utiliser HDS pour leurs besoins de chiffrement et perdront tous leurs espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Finalisez le processus de suppression en révoquant les CMK des organisations clientes comme indiqué dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les cartes CMK des locataires expulsés du HDS.
Avant de commencer
Supprimer les clients comme indiqué dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la révocation de la CMK effectuée avec succès, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Testez votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d'avoir accès au journal système (syslog) pour vérifier que les requêtes clés sont bien transmises à votre déploiement de sécurité des données hybride multi-locataire.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de la sécurité des données hybrides, le contenu des espaces créés par les utilisateurs ne sera plus accessible une fois que les copies des clés de chiffrement mises en cache côté client auront été remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vous assurer que les requêtes clés sont bien transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation utilise Multi-Tenant HDS. Vérifiez la valeur de |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l'écran. |
| 2 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérez votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification des mises à niveau, sélectionnez l'heure et le fuseau horaire de la planification des mises à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et nouveaux mots de passe fonctionnent tous deux pendant 10 jours maximum. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour les partenaires.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution,, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (IP) address/setup, par exemple, https://192.0.2.0/setup), entrez les identifiants d'administrateur que vous avez configurés pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsqu’elle est activée, la résolution DNS externe bloquée est définie sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus important fourni par votre cluster Hybrid Data Security est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une perte Irrécupérable du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe rend indisponible le déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système (syslog) pour vous assurer que les nœuds du centre de données de secours ne sont pas en mode passif. Le message « KMS configuré en mode passif » ne devrait pas apparaître dans les journaux système. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Cependant, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS auront pris en compte la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle image ISO ou mettez à jour une image ISO via l'outil de configuration, vous devez monter l'image ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appliance vCenter Server, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Mettez sous tension le nœud HDS et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybride est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que les requêtes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de traiter rapidement toute alerte afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans le Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées. |
Effectuez la configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées. |
Finalisez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour repérer les alertes et corrigez les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez les journaux système du serveur syslog pour détecter toute activité provenant du déploiement de la sécurité des données hybrides. Filtrez les résultats pour trouver des mots comme « Avertissement » et « Erreur » afin de faciliter le dépannage. |
| 6 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en arrêtant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne pourront plus utiliser les espaces de leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil d'installation HDS à l'aide de Podman Desktop.
Podman est un outil de gestion de conteneurs gratuit et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
Que faire ensuite
Déplacez le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub.
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire géré dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « mono-locataire » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub.
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez le HDS multi-locataire pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Toutes les conditions préalables mentionnées dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats soient utilisés lors de la migration vers un système HDS multi-locataire.
| 1 |
Connectez-vous à l'Espace Partenaires. Cliquez sur Services dans le volet de gauche. Utilisez la même image ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent restent accessibles dans la nouvelle configuration multi-locataires. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Créer un cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Allez dans l'onglet Paramètres et cliquez sur Activer sur la carte État HDS. HDS activé Le message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients attribués. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de certificat appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Terminer les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une image ISO de configuration pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants en provenance du cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections fournissent des indications sur la manière de configurer différentes versions de Squid pour ignorer le trafic wss: afin d'assurer le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctions ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-tenant.
|
Date |
Modifications apportées |
|---|---|
|
13 décembre 2024 |
Première version. |
Désactiver la sécurité des données hybrides multi-locataires
Flux des tâches de désactivation HDS multi-tenant
Suivez ces étapes pour désactiver complètement le HDS multi-tenant.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations des tenants. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des tenants supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters du Hub partenaire en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte de statut HDS. |
Commencer avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été au centre de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux entreprises de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d’autres services de sécurité. Cette configuration permet à l’organisation partenaire d’avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées de l’accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS si nécessaire. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion des clés et l’infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataire assure la souveraineté et le contrôle des données
- Le contenu généré par l’utilisateur est protégé contre l’accès externe, comme les fournisseurs de services en nuage.
- Les partenaires de confiance locaux gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option d'assistance technique locale, si fournie par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et gérer les clients sous un système de sécurité des données hybrides multi-locataires.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été affectés à l'utilisateur.
- Administrateur complet : administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-tenant de bout en bout de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations de tenants assignés - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service en domaines de confiance distincts, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons tout d’abord ce cas du Cloud pur, dans lequel Cisco fournit toutes les fonctions dans ses domaines du Cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex qui s’exécute sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions de sécurité du domaine (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage d’identité et de contenu) restent dans les domaines de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre entreprise peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres entreprises. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé pour l’espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH séparé pour obtenir la clé à partir du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d’origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour des détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybrides multi-tenant.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
-
L’équipement, le logiciel et l’accès réseau décrits dans Préparer votre environnement.
La perte complète de la configuration ISO que vous créez pour la sécurité des données hybrides ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l’espace et les autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Préparez-vous à effectuer une reprise d'activité rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de la base de données ou un sinistre du centre de données.
Il n'y a aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus d’installation de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides multi-locataire :
-
Configurer la sécurité des données hybrides—Ceci inclut la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations de tenants au cluster et la gestion de leurs clés principales du client (CMK). Ceci permettra à tous les utilisateurs de vos organisations clientes d’utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement de sécurité des données hybrides–Le Cloud Webex fournit automatiquement les mises à jour en cours. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus–Si vous rencontrez des problèmes lors du déploiement ou de l'utilisation de la sécurité des données hybrides, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Dans le centre de données de votre entreprise, vous déployez la sécurité des données hybrides sous la forme d’un seul cluster de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise le serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de base de données dans l'outil d'installation HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs nœuds garantit que le service n'est pas interrompu au cours d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Hub partenaire. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données en veille pour la reprise d'activité après sinistre
Pendant le déploiement, vous configurez un centre de données de veille sécurisé. En cas de panne d'un centre de données, vous pouvez manuellement échouer votre déploiement sur le centre de données en veille.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement.
Les nœuds de sécurité des données hybrides actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy—La valeur par défaut si vous n'utilisez pas le nœud HDS Configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy sans inspection transparent—Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy sans inspection. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection–Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FDQN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
-
Port du proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification—Choisissez parmi les types d'authentification suivants :
-
Aucune—Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Résumé—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
Installation et exécution de VMware ESXi 6.5 (ou version ultérieure).
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote SQL Server JDBC 4.6 Cette version du pilote prend en charge SQL Server Always On ( Toujours sur les instances de cluster de basculement et Toujours sur les groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, le passage du trafic (qui ne s’inspecte pas) à
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que la fonctionnalité HDS multi-tenant est activée pour votre organisation partenaire et obtenez les informations d'identification d'un compte avec le partenaire administrateur avec droits d'administrateur complet et d'administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux organisateurs distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences de l’organisateur virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, selon les exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Dans la mesure où les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Vérifiez que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur toute machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit avoir la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Configurer un cluster de sécurité des données hybrides
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 6.5. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel . Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de la section Aide . Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Sinon, cliquez sur Voir le guide de déploiement de sécurité des données hybrides pour vérifier si une version plus récente de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO , vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans Exigences du certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion de la base de données dans Paramètres avancés. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil d'installation, tapez sur |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier , saisissez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource informatique , choisissez la ressource informatique de destination, puis cliquez sur Suivant. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration , cliquez sur 4 CPU puis cliquez sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage , cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Sur la page Sélectionner les réseaux , choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la MV. |
| 10 |
Sur la page Personnaliser le modèle , configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes contenues dans Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 6.5. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’organisateur HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration . |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l’URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud , saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Ajouter au bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur la page Sécurité des données hybrides , le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources . Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes contenues dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes contenues dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes contenues dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes contenues dans Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations de tenants sur la sécurité des données hybrides multi-tenants
Activer HDS multi-tenant sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS multi-tenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS . |
Ajouter des organisations de tenants dans Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez qu'un client soit affecté. |
| 5 |
Allez à l'onglet Clients attribués . |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales du client (CMK) à l’aide de l’outil d’installation HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations de tenants dans Partner Hub. Exécutez l’outil d’installation HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passe de Gestion de CMK en attente à CMK géré. |
| 13 |
Si la création de CMK a échoué, une erreur s'affiche. |
Supprimer les organisations de tenants
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de chiffrement et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou le gestionnaire de votre compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur l'onglet Ressources , cliquez sur le cluster à partir duquel vous souhaitez supprimer les organisations des clients. |
| 5 |
Dans la page qui s’ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations des clients qui sont affichées, cliquez sur ... sur le côté droit de l'organisation du client que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme détaillé dans Révoquer les CMK des tenants supprimés de HDS.
Révoquer les CMK des tenants supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations des tenants. Exécutez l’outil d’installation HDS pour terminer le processus de suppression des organisations des clients qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation du client n’apparaît plus dans le tableau. |
| 13 |
Si la révocation de CMK échoue, une erreur s'affiche. |
Tester votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybrides multi-tenant.
-
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides multi-tenant.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant que l’un des utilisateurs de l’organisation du client, puis créez un espace. Si vous désactivez le déploiement de sécurité des données hybrides, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies des clés de chiffrement mises en cache par le client sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides. |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
| 2 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster . |
| 6 |
À la page Paramètres du cluster, sous Programmation de la mise à niveau, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour sur le jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce–L’ancien et le nouveau mot de passe fonctionnent tous deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle–Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complet de partenaire.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lorsque vous ouvrez le conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle MV de nœud de sécurité des données hybrides et enregistrez-le en utilisant le nouveau fichier de configuration ISO. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification de l'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la MV. (Dans le panneau de navigation de gauche, faites un clic droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la MV, n'oubliez pas de démonter le fichier de configuration ISO. Sans le fichier ISO, vous ne pouvez pas utiliser la MV pour accéder à vos données de sécurité. |
Récupération après sinistre en utilisant le centre de données en veille
Le service le plus critique que fournit votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation qui est affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données de sécurité des données hybrides ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu du client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre cause l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données en veille.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer un ISO de configuration pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >Lecteur CD/DVD 1 et sélectionnez Fichier ISO de la banque de données. Vérifiez que Connecté et Se connecter à la mise sous tension sont cochés afin que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le Hub partenaire. Reportez-vous à Enregistrer le premier nœud dans le cluster. |
| 8 |
Répétez le processus pour chaque nœud dans le centre de données en veille. |
Que faire ensuite
(Facultatif) Démonter ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont repris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle norme ISO ou mettez à jour une norme ISO via l'outil de configuration, vous devez monter la norme ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont repris les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appareil serveur vCenter, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO de la banque de données. |
| 4 |
Mettez le nœud HDS sous tension et vérifiez qu’il n’y a aucune alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération à tour de rôle pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont injoignables, ou si le cluster fonctionne si lentement que le temps d'expiration est demandé. Si les utilisateurs ne peuvent pas joindre votre cluster de sécurité des données hybrides, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et d’adresser rapidement toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations ajoutées |
Terminez l’installation en créant des CMK pour les organisations de tenants nouvellement ajoutées en utilisant l’outil d’installation HDS. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations supprimées |
Terminez l’installation en révoquant les CMK des organisations de tenants qui ont été supprimées à l’aide de l’outil d’installation HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez Partner Hub pour trouver des alertes et corrigez les éléments que vous y trouverez. Voir l’image ci-dessous pour référence. |
| 2 |
Vérifiez la sortie du serveur syslog pour connaître l’activité du déploiement de sécurité des données hybrides. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous fermez votre cluster de sécurité des données hybrides (en le supprimant dans le Partner Hub ou en arrêtant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l’accès à la base de données du magasin de mots de passe, les utilisateurs de l’application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec les clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme guide pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat de serveur de votre autorité de certification, enregistrez-le en tant que |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de regroupement de certificats appelé
|
| 4 |
Créez le fichier .p12 avec le nom facile
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au Cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l’établissement des connexions websocket (wss :) nécessaires pour la sécurité des données hybrides. Ces sections fournissent des conseils sur la façon de configurer différentes versions de Squid pour ignorer WSS : le trafic pour un fonctionnement correct des services.
Squid 4 et 5
Ajoutez la on_unsupported_protocol directive à squid.conf :
on_unsupported_protocol tunnel tousSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid. conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl ::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl étape1 at_step SslBump1 acl étape2 at_step SslBump2 acl étape3 at_step SslBump3 ssl_bump peek étape1 tous ssl_bump stare étape2 tous ssl_bump bump étape3 tousInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctions ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-tenant.
|
Date |
Modifications apportées |
|---|---|
|
8 janvier 2025 |
Ajout d'une remarque dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des Exigences de l’organisateur virtuel, Flux des tâches de déploiement de sécurité des données hybrides et Installer l’OVA de l’organisateur HDS pour afficher la nouvelle exigence d’ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux des tâches de désactivation HDS multi-tenant
Suivez ces étapes pour désactiver complètement le HDS multi-tenant.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations des tenants. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des tenants supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters du Hub partenaire en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte de statut HDS. |
Commencer avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été au centre de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux entreprises de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d’autres services de sécurité. Cette configuration permet à l’organisation partenaire d’avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées de l’accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS si nécessaire. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion des clés et l’infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataire assure la souveraineté et le contrôle des données
- Le contenu généré par l’utilisateur est protégé contre l’accès externe, comme les fournisseurs de services en nuage.
- Les partenaires de confiance locaux gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option d'assistance technique locale, si fournie par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et gérer les clients sous un système de sécurité des données hybrides multi-locataires.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été affectés à l'utilisateur.
- Administrateur complet : administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-tenant de bout en bout de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations de tenants assignés - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service en domaines de confiance distincts, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons tout d’abord ce cas du Cloud pur, dans lequel Cisco fournit toutes les fonctions dans ses domaines du Cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex qui s’exécute sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions de sécurité du domaine (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage d’identité et de contenu) restent dans les domaines de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre entreprise peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres entreprises. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé pour l’espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH séparé pour obtenir la clé à partir du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d’origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour des détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybrides multi-tenant.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
-
L’équipement, le logiciel et l’accès réseau décrits dans Préparer votre environnement.
La perte complète de la configuration ISO que vous créez pour la sécurité des données hybrides ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l’espace et les autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Préparez-vous à effectuer une reprise d'activité rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de la base de données ou un sinistre du centre de données.
Il n'y a aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus d’installation de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides multi-locataire :
-
Configurer la sécurité des données hybrides—Ceci inclut la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations de tenants au cluster et la gestion de leurs clés principales du client (CMK). Ceci permettra à tous les utilisateurs de vos organisations clientes d’utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement de sécurité des données hybrides–Le Cloud Webex fournit automatiquement les mises à jour en cours. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus–Si vous rencontrez des problèmes lors du déploiement ou de l'utilisation de la sécurité des données hybrides, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Dans le centre de données de votre entreprise, vous déployez la sécurité des données hybrides sous la forme d’un seul cluster de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise le serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de base de données dans l'outil d'installation HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs nœuds garantit que le service n'est pas interrompu au cours d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Hub partenaire. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données en veille pour la reprise d'activité après sinistre
Pendant le déploiement, vous configurez un centre de données de veille sécurisé. En cas de panne d'un centre de données, vous pouvez manuellement échouer votre déploiement sur le centre de données en veille.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement.
Les nœuds de sécurité des données hybrides actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy—La valeur par défaut si vous n'utilisez pas le nœud HDS Configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy sans inspection transparent—Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy sans inspection. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection–Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FDQN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
-
Port du proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification—Choisissez parmi les types d'authentification suivants :
-
Aucune—Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Résumé—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 (ou version ultérieure) est installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote SQL Server JDBC 4.6 Cette version du pilote prend en charge SQL Server Always On ( Toujours sur les instances de cluster de basculement et Toujours sur les groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, le passage du trafic (qui ne s’inspecte pas) à
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que la fonctionnalité HDS multi-tenant est activée pour votre organisation partenaire et obtenez les informations d'identification d'un compte avec le partenaire administrateur avec droits d'administrateur complet et d'administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux organisateurs distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences de l’organisateur virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, selon les exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Dans la mesure où les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Vérifiez que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur toute machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit avoir la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Configurer un cluster de sécurité des données hybrides
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel . Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de la section Aide . Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Sinon, cliquez sur Voir le guide de déploiement de sécurité des données hybrides pour vérifier si une version plus récente de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO , vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans Exigences du certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion de la base de données dans Paramètres avancés. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil d'installation, tapez sur |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier , saisissez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource informatique , choisissez la ressource informatique de destination, puis cliquez sur Suivant. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration , cliquez sur 4 CPU puis cliquez sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage , cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Sur la page Sélectionner les réseaux , choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la MV. |
| 10 |
Sur la page Personnaliser le modèle , configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes contenues dans Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’organisateur HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration . |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l’URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud , saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Ajouter au bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur la page Sécurité des données hybrides , le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources . Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes contenues dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes contenues dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes contenues dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes contenues dans Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations de tenants sur la sécurité des données hybrides multi-tenants
Activer HDS multi-tenant sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS multi-tenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS . |
Ajouter des organisations de tenants dans Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez qu'un client soit affecté. |
| 5 |
Allez à l'onglet Clients attribués . |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales du client (CMK) à l’aide de l’outil d’installation HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations de tenants dans Partner Hub. Exécutez l’outil d’installation HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passe de Gestion de CMK en attente à CMK géré. |
| 13 |
Si la création de CMK a échoué, une erreur s'affiche. |
Supprimer les organisations de tenants
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de chiffrement et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou le gestionnaire de votre compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur l'onglet Ressources , cliquez sur le cluster à partir duquel vous souhaitez supprimer les organisations des clients. |
| 5 |
Dans la page qui s’ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations des clients qui sont affichées, cliquez sur ... sur le côté droit de l'organisation du client que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme détaillé dans Révoquer les CMK des tenants supprimés de HDS.
Révoquer les CMK des tenants supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations des tenants. Exécutez l’outil d’installation HDS pour terminer le processus de suppression des organisations des clients qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation du client n’apparaît plus dans le tableau. |
| 13 |
Si la révocation de CMK échoue, une erreur s'affiche. |
Tester votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybrides multi-tenant.
-
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides multi-tenant.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant que l’un des utilisateurs de l’organisation du client, puis créez un espace. Si vous désactivez le déploiement de sécurité des données hybrides, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies des clés de chiffrement mises en cache par le client sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides. |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
| 2 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster . |
| 6 |
À la page Paramètres du cluster, sous Programmation de la mise à niveau, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour sur le jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce–L’ancien et le nouveau mot de passe fonctionnent tous deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle–Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complet de partenaire.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lorsque vous ouvrez le conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle MV de nœud de sécurité des données hybrides et enregistrez-le à l'aide du nouveau fichier de configuration ISO. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification de l'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la MV. (Dans le panneau de navigation de gauche, faites un clic droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la MV, n'oubliez pas de démonter le fichier de configuration ISO. Sans le fichier ISO, vous ne pouvez pas utiliser la MV pour accéder à vos données de sécurité. |
Récupération après sinistre en utilisant le centre de données en veille
Le service le plus critique que fournit votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation qui est affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données de sécurité des données hybrides ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu du client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre cause l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données en veille.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer un ISO de configuration pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >Lecteur CD/DVD 1 et sélectionnez Fichier ISO de la banque de données. Vérifiez que Connecté et Se connecter à la mise sous tension sont cochés afin que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le Hub partenaire. Reportez-vous à Enregistrer le premier nœud dans le cluster. |
| 8 |
Répétez le processus pour chaque nœud dans le centre de données en veille. |
Que faire ensuite
(Facultatif) Démonter ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont repris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle norme ISO ou mettez à jour une norme ISO via l'outil de configuration, vous devez monter la norme ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont repris les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appareil serveur vCenter, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO de la banque de données. |
| 4 |
Mettez le nœud HDS sous tension et vérifiez qu’il n’y a aucune alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération à tour de rôle pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont injoignables, ou si le cluster fonctionne si lentement que le temps d'expiration est demandé. Si les utilisateurs ne peuvent pas joindre votre cluster de sécurité des données hybrides, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et d’adresser rapidement toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations ajoutées |
Terminez l’installation en créant des CMK pour les organisations de tenants nouvellement ajoutées en utilisant l’outil d’installation HDS. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations supprimées |
Terminez l’installation en révoquant les CMK des organisations de tenants qui ont été supprimées à l’aide de l’outil d’installation HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez Partner Hub pour trouver des alertes et corrigez les éléments que vous y trouverez. Voir l’image ci-dessous pour référence. |
| 2 |
Vérifiez la sortie du serveur syslog pour connaître l’activité du déploiement de sécurité des données hybrides. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous fermez votre cluster de sécurité des données hybrides (en le supprimant dans le Partner Hub ou en arrêtant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l’accès à la base de données du magasin de mots de passe, les utilisateurs de l’application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec les clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme guide pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat de serveur de votre autorité de certification, enregistrez-le en tant que |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de regroupement de certificats appelé
|
| 4 |
Créez le fichier .p12 avec le nom facile
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au Cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l’établissement des connexions websocket (wss :) nécessaires pour la sécurité des données hybrides. Ces sections fournissent des conseils sur la façon de configurer différentes versions de Squid pour ignorer WSS : le trafic pour un fonctionnement correct des services.
Squid 4 et 5
Ajoutez la on_unsupported_protocol directive à squid.conf :
on_unsupported_protocol tunnel tousSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid. conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl ::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl étape1 at_step SslBump1 acl étape2 at_step SslBump2 acl étape3 at_step SslBump3 ssl_bump peek étape1 tous ssl_bump stare étape2 tous ssl_bump bump étape3 tousInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctions ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-tenant.
|
Date |
Modifications apportées |
|---|---|
|
8 janvier 2025 |
Ajout d'une remarque dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des Exigences de l’organisateur virtuel, Flux des tâches de déploiement de sécurité des données hybrides et Installer l’OVA de l’organisateur HDS pour afficher la nouvelle exigence d’ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux des tâches de désactivation HDS multi-tenant
Suivez ces étapes pour désactiver complètement le HDS multi-tenant.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations des tenants. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des tenants supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters du Hub partenaire en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte de statut HDS. |
Commencer avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été au centre de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux entreprises de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d’autres services de sécurité. Cette configuration permet à l’organisation partenaire d’avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées de l’accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS si nécessaire. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion des clés et l’infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataire assure la souveraineté et le contrôle des données
- Le contenu généré par l’utilisateur est protégé contre l’accès externe, comme les fournisseurs de services en nuage.
- Les partenaires de confiance locaux gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option d'assistance technique locale, si fournie par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et gérer les clients sous un système de sécurité des données hybrides multi-locataires.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été affectés à l'utilisateur.
- Administrateur complet : administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-tenant de bout en bout de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations de tenants assignés - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service en domaines de confiance distincts, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons tout d’abord ce cas du Cloud pur, dans lequel Cisco fournit toutes les fonctions dans ses domaines du Cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex qui s’exécute sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions de sécurité du domaine (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage d’identité et de contenu) restent dans les domaines de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre entreprise peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres entreprises. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé pour l’espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH séparé pour obtenir la clé à partir du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d’origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour des détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybrides multi-tenant.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
-
L’équipement, le logiciel et l’accès réseau décrits dans Préparer votre environnement.
La perte complète de la configuration ISO que vous créez pour la sécurité des données hybrides ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l’espace et les autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Préparez-vous à effectuer une reprise d'activité rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de la base de données ou un sinistre du centre de données.
Il n'y a aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus d’installation de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides multi-locataire :
-
Configurer la sécurité des données hybrides—Ceci inclut la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations de tenants au cluster et la gestion de leurs clés principales du client (CMK). Ceci permettra à tous les utilisateurs de vos organisations clientes d’utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement de sécurité des données hybrides–Le Cloud Webex fournit automatiquement les mises à jour en cours. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus–Si vous rencontrez des problèmes lors du déploiement ou de l'utilisation de la sécurité des données hybrides, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Dans le centre de données de votre entreprise, vous déployez la sécurité des données hybrides sous la forme d’un seul cluster de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise le serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de base de données dans l'outil d'installation HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs nœuds garantit que le service n'est pas interrompu au cours d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Hub partenaire. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données en veille pour la reprise d'activité après sinistre
Pendant le déploiement, vous configurez un centre de données de veille sécurisé. En cas de panne d'un centre de données, vous pouvez manuellement échouer votre déploiement sur le centre de données en veille.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement.
Les nœuds de sécurité des données hybrides actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy—La valeur par défaut si vous n'utilisez pas le nœud HDS Configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy sans inspection transparent—Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy sans inspection. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection–Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FDQN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
-
Port du proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification—Choisissez parmi les types d'authentification suivants :
-
Aucune—Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Résumé—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 (ou version ultérieure) est installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote SQL Server JDBC 4.6 Cette version du pilote prend en charge SQL Server Always On ( Toujours sur les instances de cluster de basculement et Toujours sur les groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, le passage du trafic (qui ne s’inspecte pas) à
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que la fonctionnalité HDS multi-tenant est activée pour votre organisation partenaire et obtenez les informations d'identification d'un compte avec le partenaire administrateur avec droits d'administrateur complet et d'administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux organisateurs distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences de l’organisateur virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, selon les exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Dans la mesure où les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Vérifiez que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur toute machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit avoir la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Configurer un cluster de sécurité des données hybrides
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel . Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de la section Aide . Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Sinon, cliquez sur Voir le guide de déploiement de sécurité des données hybrides pour vérifier si une version plus récente de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO , vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans Exigences du certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion de la base de données dans Paramètres avancés. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil d'installation, tapez sur |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier , saisissez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource informatique , choisissez la ressource informatique de destination, puis cliquez sur Suivant. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration , cliquez sur 4 CPU puis cliquez sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage , cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Sur la page Sélectionner les réseaux , choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la MV. |
| 10 |
Sur la page Personnaliser le modèle , configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes contenues dans Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’organisateur HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration . |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l’URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud , saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Ajouter au bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur la page Sécurité des données hybrides , le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources . Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes contenues dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes contenues dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes contenues dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes contenues dans Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations de tenants sur la sécurité des données hybrides multi-tenants
Activer HDS multi-tenant sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS multi-tenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS . |
Ajouter des organisations de tenants dans Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez qu'un client soit affecté. |
| 5 |
Allez à l'onglet Clients attribués . |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales du client (CMK) à l’aide de l’outil d’installation HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations de tenants dans Partner Hub. Exécutez l’outil d’installation HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passe de Gestion de CMK en attente à CMK géré. |
| 13 |
Si la création de CMK a échoué, une erreur s'affiche. |
Supprimer les organisations de tenants
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de chiffrement et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou le gestionnaire de votre compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur l'onglet Ressources , cliquez sur le cluster à partir duquel vous souhaitez supprimer les organisations des clients. |
| 5 |
Dans la page qui s’ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations des clients qui sont affichées, cliquez sur ... sur le côté droit de l'organisation du client que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme détaillé dans Révoquer les CMK des tenants supprimés de HDS.
Révoquer les CMK des tenants supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations des tenants. Exécutez l’outil d’installation HDS pour terminer le processus de suppression des organisations des clients qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation du client n’apparaît plus dans le tableau. |
| 13 |
Si la révocation de CMK échoue, une erreur s'affiche. |
Tester votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybrides multi-tenant.
-
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides multi-tenant.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant que l’un des utilisateurs de l’organisation du client, puis créez un espace. Si vous désactivez le déploiement de sécurité des données hybrides, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies des clés de chiffrement mises en cache par le client sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides. |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
| 2 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster . |
| 6 |
À la page Paramètres du cluster, sous Programmation de la mise à niveau, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour sur le jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce–L’ancien et le nouveau mot de passe fonctionnent tous deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle–Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complet de partenaire.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lorsque vous ouvrez le conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle MV de nœud de sécurité des données hybrides et enregistrez-le à l'aide du nouveau fichier de configuration ISO. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification de l'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la MV. (Dans le panneau de navigation de gauche, faites un clic droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la MV, n'oubliez pas de démonter le fichier de configuration ISO. Sans le fichier ISO, vous ne pouvez pas utiliser la MV pour accéder à vos données de sécurité. |
Récupération après sinistre en utilisant le centre de données en veille
Le service le plus critique que fournit votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation qui est affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données de sécurité des données hybrides ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu du client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre cause l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données en veille.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer un ISO de configuration pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >Lecteur CD/DVD 1 et sélectionnez Fichier ISO de la banque de données. Vérifiez que Connecté et Se connecter à la mise sous tension sont cochés afin que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le Hub partenaire. Reportez-vous à Enregistrer le premier nœud dans le cluster. |
| 8 |
Répétez le processus pour chaque nœud dans le centre de données en veille. |
Que faire ensuite
(Facultatif) Démonter ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont repris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle norme ISO ou mettez à jour une norme ISO via l'outil de configuration, vous devez monter la norme ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont repris les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appareil serveur vCenter, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO de la banque de données. |
| 4 |
Mettez le nœud HDS sous tension et vérifiez qu’il n’y a aucune alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération à tour de rôle pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont injoignables, ou si le cluster fonctionne si lentement que le temps d'expiration est demandé. Si les utilisateurs ne peuvent pas joindre votre cluster de sécurité des données hybrides, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et d’adresser rapidement toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations ajoutées |
Terminez l’installation en créant des CMK pour les organisations de tenants nouvellement ajoutées en utilisant l’outil d’installation HDS. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations supprimées |
Terminez l’installation en révoquant les CMK des organisations de tenants qui ont été supprimées à l’aide de l’outil d’installation HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez Partner Hub pour trouver des alertes et corrigez les éléments que vous y trouverez. Voir l’image ci-dessous pour référence. |
| 2 |
Vérifiez la sortie du serveur syslog pour connaître l’activité du déploiement de sécurité des données hybrides. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous fermez votre cluster de sécurité des données hybrides (en le supprimant dans le Partner Hub ou en arrêtant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l’accès à la base de données du magasin de mots de passe, les utilisateurs de l’application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec les clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme guide pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat de serveur de votre autorité de certification, enregistrez-le en tant que |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de regroupement de certificats appelé
|
| 4 |
Créez le fichier .p12 avec le nom facile
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au Cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l’établissement des connexions websocket (wss :) nécessaires pour la sécurité des données hybrides. Ces sections fournissent des conseils sur la façon de configurer différentes versions de Squid pour ignorer WSS : le trafic pour un fonctionnement correct des services.
Squid 4 et 5
Ajoutez la on_unsupported_protocol directive à squid.conf :
on_unsupported_protocol tunnel tousSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid. conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl ::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl étape1 at_step SslBump1 acl étape2 at_step SslBump2 acl étape3 at_step SslBump3 ssl_bump peek étape1 tous ssl_bump stare étape2 tous ssl_bump bump étape3 tousInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctions ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-tenant.
|
Date |
Modifications apportées |
|---|---|
|
8 janvier 2025 |
Ajout d'une remarque dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des Exigences de l’organisateur virtuel, Flux des tâches de déploiement de sécurité des données hybrides et Installer l’OVA de l’organisateur HDS pour afficher la nouvelle exigence d’ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux des tâches de désactivation HDS multi-tenant
Suivez ces étapes pour désactiver complètement le HDS multi-tenant.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations des tenants. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des tenants supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters du Hub partenaire en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte de statut HDS. |
Commencer avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été au centre de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux entreprises de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d’autres services de sécurité. Cette configuration permet à l’organisation partenaire d’avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées de l’accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS si nécessaire. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion des clés et l’infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataire assure la souveraineté et le contrôle des données
- Le contenu généré par l’utilisateur est protégé contre l’accès externe, comme les fournisseurs de services en nuage.
- Les partenaires de confiance locaux gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option d'assistance technique locale, si fournie par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et gérer les clients sous un système de sécurité des données hybrides multi-locataires.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été affectés à l'utilisateur.
- Administrateur complet : administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-tenant de bout en bout de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations de tenants assignés - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service en domaines de confiance distincts, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons tout d’abord ce cas du Cloud pur, dans lequel Cisco fournit toutes les fonctions dans ses domaines du Cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex qui s’exécute sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions de sécurité du domaine (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage d’identité et de contenu) restent dans les domaines de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre entreprise peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres entreprises. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé pour l’espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH séparé pour obtenir la clé à partir du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d’origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour des détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybrides multi-tenant.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
-
L’équipement, le logiciel et l’accès réseau décrits dans Préparer votre environnement.
La perte complète de la configuration ISO que vous créez pour la sécurité des données hybrides ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l’espace et les autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Préparez-vous à effectuer une reprise d'activité rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de la base de données ou un sinistre du centre de données.
Il n'y a aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus d’installation de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides multi-locataire :
-
Configurer la sécurité des données hybrides—Ceci inclut la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations de tenants au cluster et la gestion de leurs clés principales du client (CMK). Ceci permettra à tous les utilisateurs de vos organisations clientes d’utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement de sécurité des données hybrides–Le Cloud Webex fournit automatiquement les mises à jour en cours. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus–Si vous rencontrez des problèmes lors du déploiement ou de l'utilisation de la sécurité des données hybrides, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Dans le centre de données de votre entreprise, vous déployez la sécurité des données hybrides sous la forme d’un seul cluster de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise le serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de base de données dans l'outil d'installation HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs nœuds garantit que le service n'est pas interrompu au cours d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Hub partenaire. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données en veille pour la reprise d'activité après sinistre
Pendant le déploiement, vous configurez un centre de données de veille sécurisé. En cas de panne d'un centre de données, vous pouvez manuellement échouer votre déploiement sur le centre de données en veille.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement.
Les nœuds de sécurité des données hybrides actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy—La valeur par défaut si vous n'utilisez pas le nœud HDS Configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy sans inspection transparent—Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy sans inspection. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection–Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FDQN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
-
Port du proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification—Choisissez parmi les types d'authentification suivants :
-
Aucune—Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Résumé—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 (ou version ultérieure) est installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote SQL Server JDBC 4.6 Cette version du pilote prend en charge SQL Server Always On ( Toujours sur les instances de cluster de basculement et Toujours sur les groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, le passage du trafic (qui ne s’inspecte pas) à
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que la fonctionnalité HDS multi-tenant est activée pour votre organisation partenaire et obtenez les informations d'identification d'un compte avec le partenaire administrateur avec droits d'administrateur complet et d'administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux organisateurs distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences de l’organisateur virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, selon les exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Dans la mesure où les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Vérifiez que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur toute machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit avoir la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Configurer un cluster de sécurité des données hybrides
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel . Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de la section Aide . Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Sinon, cliquez sur Voir le guide de déploiement de sécurité des données hybrides pour vérifier si une version plus récente de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO , vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans Exigences du certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion de la base de données dans Paramètres avancés. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil d'installation, tapez sur |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier , saisissez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource informatique , choisissez la ressource informatique de destination, puis cliquez sur Suivant. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration , cliquez sur 4 CPU puis cliquez sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage , cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Sur la page Sélectionner les réseaux , choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la MV. |
| 10 |
Sur la page Personnaliser le modèle , configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes contenues dans Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’organisateur HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration . |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l’URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud , saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Ajouter au bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur la page Sécurité des données hybrides , le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources . Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes contenues dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes contenues dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes contenues dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes contenues dans Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations de tenants sur la sécurité des données hybrides multi-tenants
Activer HDS multi-tenant sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS multi-tenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS . |
Ajouter des organisations de tenants dans Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez qu'un client soit affecté. |
| 5 |
Allez à l'onglet Clients attribués . |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales du client (CMK) à l’aide de l’outil d’installation HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations de tenants dans Partner Hub. Exécutez l’outil d’installation HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passe de Gestion de CMK en attente à CMK géré. |
| 13 |
Si la création de CMK a échoué, une erreur s'affiche. |
Supprimer les organisations de tenants
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de chiffrement et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou le gestionnaire de votre compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur l'onglet Ressources , cliquez sur le cluster à partir duquel vous souhaitez supprimer les organisations des clients. |
| 5 |
Dans la page qui s’ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations des clients qui sont affichées, cliquez sur ... sur le côté droit de l'organisation du client que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme détaillé dans Révoquer les CMK des tenants supprimés de HDS.
Révoquer les CMK des tenants supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations des tenants. Exécutez l’outil d’installation HDS pour terminer le processus de suppression des organisations des clients qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation du client n’apparaît plus dans le tableau. |
| 13 |
Si la révocation de CMK échoue, une erreur s'affiche. |
Tester votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybrides multi-tenant.
-
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides multi-tenant.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant que l’un des utilisateurs de l’organisation du client, puis créez un espace. Si vous désactivez le déploiement de sécurité des données hybrides, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies des clés de chiffrement mises en cache par le client sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides. |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
| 2 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster . |
| 6 |
À la page Paramètres du cluster, sous Programmation de la mise à niveau, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour sur le jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce–L’ancien et le nouveau mot de passe fonctionnent tous deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle–Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complet de partenaire.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lorsque vous ouvrez le conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle MV de nœud de sécurité des données hybrides et enregistrez-le à l'aide du nouveau fichier de configuration ISO. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification de l'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la MV. (Dans le panneau de navigation de gauche, faites un clic droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la MV, n'oubliez pas de démonter le fichier de configuration ISO. Sans le fichier ISO, vous ne pouvez pas utiliser la MV pour accéder à vos données de sécurité. |
Récupération après sinistre en utilisant le centre de données en veille
Le service le plus critique que fournit votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation qui est affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données de sécurité des données hybrides ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu du client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre cause l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données en veille.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer un ISO de configuration pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >Lecteur CD/DVD 1 et sélectionnez Fichier ISO de la banque de données. Vérifiez que Connecté et Se connecter à la mise sous tension sont cochés afin que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le Hub partenaire. Reportez-vous à Enregistrer le premier nœud dans le cluster. |
| 8 |
Répétez le processus pour chaque nœud dans le centre de données en veille. |
Que faire ensuite
(Facultatif) Démonter ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont repris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle norme ISO ou mettez à jour une norme ISO via l'outil de configuration, vous devez monter la norme ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont repris les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appareil serveur vCenter, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO de la banque de données. |
| 4 |
Mettez le nœud HDS sous tension et vérifiez qu’il n’y a aucune alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération à tour de rôle pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont injoignables, ou si le cluster fonctionne si lentement que le temps d'expiration est demandé. Si les utilisateurs ne peuvent pas joindre votre cluster de sécurité des données hybrides, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et d’adresser rapidement toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations ajoutées |
Terminez l’installation en créant des CMK pour les organisations de tenants nouvellement ajoutées en utilisant l’outil d’installation HDS. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations supprimées |
Terminez l’installation en révoquant les CMK des organisations de tenants qui ont été supprimées à l’aide de l’outil d’installation HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez Partner Hub pour trouver des alertes et corrigez les éléments que vous y trouverez. Voir l’image ci-dessous pour référence. |
| 2 |
Vérifiez la sortie du serveur syslog pour connaître l’activité du déploiement de sécurité des données hybrides. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous fermez votre cluster de sécurité des données hybrides (en le supprimant dans le Partner Hub ou en arrêtant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l’accès à la base de données du magasin de mots de passe, les utilisateurs de l’application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec les clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme guide pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat de serveur de votre autorité de certification, enregistrez-le en tant que |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de regroupement de certificats appelé
|
| 4 |
Créez le fichier .p12 avec le nom facile
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au Cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l’établissement des connexions websocket (wss :) nécessaires pour la sécurité des données hybrides. Ces sections fournissent des conseils sur la façon de configurer différentes versions de Squid pour ignorer WSS : le trafic pour un fonctionnement correct des services.
Squid 4 et 5
Ajoutez la on_unsupported_protocol directive à squid.conf :
on_unsupported_protocol tunnel tousSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid. conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl ::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl étape1 at_step SslBump1 acl étape2 at_step SslBump2 acl étape3 at_step SslBump3 ssl_bump peek étape1 tous ssl_bump stare étape2 tous ssl_bump bump étape3 tousInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctions ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-tenant.
|
Date |
Modifications apportées |
|---|---|
|
15 janvier 2025 |
Ajout des limites de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une remarque dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des Exigences de l’organisateur virtuel, Flux des tâches de déploiement de sécurité des données hybrides et Installer l’OVA de l’organisateur HDS pour afficher la nouvelle exigence d’ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux des tâches de désactivation HDS multi-tenant
Suivez ces étapes pour désactiver complètement le HDS multi-tenant.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations des tenants. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des tenants supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters du Hub partenaire en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte de statut HDS. |
Commencer avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été au centre de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux entreprises de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d’autres services de sécurité. Cette configuration permet à l’organisation partenaire d’avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées de l’accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS si nécessaire. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion des clés et l’infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataire assure la souveraineté et le contrôle des données
- Le contenu généré par l’utilisateur est protégé contre l’accès externe, comme les fournisseurs de services en nuage.
- Les partenaires de confiance locaux gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option d'assistance technique locale, si fournie par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et gérer les clients sous un système de sécurité des données hybrides multi-locataires.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent pas avoir de déploiement HDS existant actif dans Control Hub.
- Les organisations clientes ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans le Control Hub.
- Une fois que le HDS multi-tenant est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l’organisation partenaire commencent à utiliser le HDS multi-tenant pour leurs services de chiffrement.
L’organisation partenaire et les organisations des clients qu’ils gèrent seront sur le même déploiement HDS multi-tenant.
L’organisation partenaire n’utilisera plus KMS sur le Cloud après le déploiement de HDS multi-tenant.
- Il n'y a aucun mécanisme pour déplacer les clés vers Cloud KMS après un déploiement HDS.
- Actuellement, chaque déploiement HDS multi-tenant ne peut avoir qu'un seul cluster, avec plusieurs nœuds en dessous.
- Les rôles d'administrateur ont certaines limites ; voir la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été affectés à l'utilisateur.
- Administrateur complet : administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-tenant de bout en bout de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations de tenants assignés - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service en domaines de confiance distincts, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons tout d’abord ce cas du Cloud pur, dans lequel Cisco fournit toutes les fonctions dans ses domaines du Cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex qui s’exécute sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions de sécurité du domaine (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage d’identité et de contenu) restent dans les domaines de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre entreprise peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres entreprises. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé pour l’espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH séparé pour obtenir la clé à partir du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d’origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour des détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybrides multi-tenant.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
-
L’équipement, le logiciel et l’accès réseau décrits dans Préparer votre environnement.
La perte complète de la configuration ISO que vous créez pour la sécurité des données hybrides ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l’espace et les autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Préparez-vous à effectuer une reprise d'activité rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de la base de données ou un sinistre du centre de données.
Il n'y a aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus d’installation de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides multi-locataire :
-
Configurer la sécurité des données hybrides—Ceci inclut la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations de tenants au cluster et la gestion de leurs clés principales du client (CMK). Ceci permettra à tous les utilisateurs de vos organisations clientes d’utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement de sécurité des données hybrides–Le Cloud Webex fournit automatiquement les mises à jour en cours. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus–Si vous rencontrez des problèmes lors du déploiement ou de l'utilisation de la sécurité des données hybrides, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Dans le centre de données de votre entreprise, vous déployez la sécurité des données hybrides sous la forme d’un seul cluster de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise le serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de base de données dans l'outil d'installation HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs nœuds garantit que le service n'est pas interrompu au cours d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Hub partenaire. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données en veille pour la reprise d'activité après sinistre
Pendant le déploiement, vous configurez un centre de données de veille sécurisé. En cas de panne d'un centre de données, vous pouvez manuellement échouer votre déploiement sur le centre de données en veille.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement.
Les nœuds de sécurité des données hybrides actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy—La valeur par défaut si vous n'utilisez pas le nœud HDS Configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy sans inspection transparent—Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy sans inspection. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection–Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FDQN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
-
Port du proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification—Choisissez parmi les types d'authentification suivants :
-
Aucune—Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Résumé—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 (ou version ultérieure) est installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote SQL Server JDBC 4.6 Cette version du pilote prend en charge SQL Server Always On ( Toujours sur les instances de cluster de basculement et Toujours sur les groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, le passage du trafic (qui ne s’inspecte pas) à
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que la fonctionnalité HDS multi-tenant est activée pour votre organisation partenaire et obtenez les informations d'identification d'un compte avec le partenaire administrateur avec droits d'administrateur complet et d'administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux organisateurs distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences de l’organisateur virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, selon les exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Dans la mesure où les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Vérifiez que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur toute machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit avoir la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Configurer un cluster de sécurité des données hybrides
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous au Hub partenaire, puis cliquez sur Services. |
| 2 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel . Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de la section Aide . Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Sinon, cliquez sur Voir le guide de déploiement de sécurité des données hybrides pour vérifier si une version plus récente de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO , vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans Exigences du certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion de la base de données dans Paramètres avancés. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil d'installation, tapez sur |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier , saisissez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource informatique , choisissez la ressource informatique de destination, puis cliquez sur Suivant. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration , cliquez sur 4 CPU puis cliquez sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage , cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Sur la page Sélectionner les réseaux , choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la MV. |
| 10 |
Sur la page Personnaliser le modèle , configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes contenues dans Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’organisateur HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration . |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l’URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud , saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Ajouter au bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur la page Sécurité des données hybrides , le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources . Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes contenues dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes contenues dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes contenues dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes contenues dans Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations de tenants sur la sécurité des données hybrides multi-tenants
Activer HDS multi-tenant sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS multi-tenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS . |
Ajouter des organisations de tenants dans Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez qu'un client soit affecté. |
| 5 |
Allez à l'onglet Clients attribués . |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales du client (CMK) à l’aide de l’outil d’installation HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations de tenants dans Partner Hub. Exécutez l’outil d’installation HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passe de Gestion de CMK en attente à CMK géré. |
| 13 |
Si la création de CMK a échoué, une erreur s'affiche. |
Supprimer les organisations de tenants
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de chiffrement et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou le gestionnaire de votre compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur l'onglet Ressources , cliquez sur le cluster à partir duquel vous souhaitez supprimer les organisations des clients. |
| 5 |
Dans la page qui s’ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations des clients qui sont affichées, cliquez sur ... sur le côté droit de l'organisation du client que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme détaillé dans Révoquer les CMK des tenants supprimés de HDS.
Révoquer les CMK des tenants supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations des tenants. Exécutez l’outil d’installation HDS pour terminer le processus de suppression des organisations des clients qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation du client n’apparaît plus dans le tableau. |
| 13 |
Si la révocation de CMK échoue, une erreur s'affiche. |
Tester votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybrides multi-tenant.
-
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides multi-tenant.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant que l’un des utilisateurs de l’organisation du client, puis créez un espace. Si vous désactivez le déploiement de sécurité des données hybrides, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies des clés de chiffrement mises en cache par le client sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides. |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
| 2 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster . |
| 6 |
À la page Paramètres du cluster, sous Programmation de la mise à niveau, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour sur le jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce–L’ancien et le nouveau mot de passe fonctionnent tous deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle–Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complet de partenaire.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lorsque vous ouvrez le conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle MV de nœud de sécurité des données hybrides et enregistrez-le à l'aide du nouveau fichier de configuration ISO. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification de l'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la MV. (Dans le panneau de navigation de gauche, faites un clic droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la MV, n'oubliez pas de démonter le fichier de configuration ISO. Sans le fichier ISO, vous ne pouvez pas utiliser la MV pour accéder à vos données de sécurité. |
Récupération après sinistre en utilisant le centre de données en veille
Le service le plus critique que fournit votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation qui est affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données de sécurité des données hybrides ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu du client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre cause l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données en veille.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer un ISO de configuration pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >Lecteur CD/DVD 1 et sélectionnez Fichier ISO de la banque de données. Vérifiez que Connecté et Se connecter à la mise sous tension sont cochés afin que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le Hub partenaire. Reportez-vous à Enregistrer le premier nœud dans le cluster. |
| 8 |
Répétez le processus pour chaque nœud dans le centre de données en veille. |
Que faire ensuite
(Facultatif) Démonter ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont repris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle norme ISO ou mettez à jour une norme ISO via l'outil de configuration, vous devez monter la norme ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont repris les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appareil serveur vCenter, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO de la banque de données. |
| 4 |
Mettez le nœud HDS sous tension et vérifiez qu’il n’y a aucune alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération à tour de rôle pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont injoignables, ou si le cluster fonctionne si lentement que le temps d'expiration est demandé. Si les utilisateurs ne peuvent pas joindre votre cluster de sécurité des données hybrides, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et d’adresser rapidement toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations ajoutées |
Terminez l’installation en créant des CMK pour les organisations de tenants nouvellement ajoutées en utilisant l’outil d’installation HDS. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations supprimées |
Terminez l’installation en révoquant les CMK des organisations de tenants qui ont été supprimées à l’aide de l’outil d’installation HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez Partner Hub pour trouver des alertes et corrigez les éléments que vous y trouverez. Voir l’image ci-dessous pour référence. |
| 2 |
Vérifiez la sortie du serveur syslog pour connaître l’activité du déploiement de sécurité des données hybrides. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous fermez votre cluster de sécurité des données hybrides (en le supprimant dans le Partner Hub ou en arrêtant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l’accès à la base de données du magasin de mots de passe, les utilisateurs de l’application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec les clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme guide pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat de serveur de votre autorité de certification, enregistrez-le en tant que |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de regroupement de certificats appelé
|
| 4 |
Créez le fichier .p12 avec le nom facile
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au Cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l’établissement des connexions websocket (wss :) nécessaires pour la sécurité des données hybrides. Ces sections fournissent des conseils sur la façon de configurer différentes versions de Squid pour ignorer WSS : le trafic pour un fonctionnement correct des services.
Squid 4 et 5
Ajoutez la on_unsupported_protocol directive à squid.conf :
on_unsupported_protocol tunnel tousSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid. conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl ::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl étape1 at_step SslBump1 acl étape2 at_step SslBump2 acl étape3 at_step SslBump3 ssl_bump peek étape1 tous ssl_bump stare étape2 tous ssl_bump bump étape3 tousInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctions ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-tenant.
|
Date |
Modifications apportées |
|---|---|
|
30 janvier 2025 |
Ajout de la version 2022 du serveur SQL à la liste des serveurs SQL pris en charge dans Exigences du serveur de base de données. |
|
15 janvier 2025 |
Ajout des limites de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une remarque dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des Exigences de l’organisateur virtuel, Flux des tâches de déploiement de sécurité des données hybrides et Installer l’OVA de l’organisateur HDS pour afficher la nouvelle exigence d’ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux des tâches de désactivation HDS multi-tenant
Suivez ces étapes pour désactiver complètement le HDS multi-tenant.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations des tenants. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des tenants supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters du Hub partenaire en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte de statut HDS. |
Commencer avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été au centre de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux entreprises de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d’autres services de sécurité. Cette configuration permet à l’organisation partenaire d’avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées de l’accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS si nécessaire. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion des clés et l’infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataire assure la souveraineté et le contrôle des données
- Le contenu généré par l’utilisateur est protégé contre l’accès externe, comme les fournisseurs de services en nuage.
- Les partenaires de confiance locaux gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option d'assistance technique locale, si fournie par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et gérer les clients sous un système de sécurité des données hybrides multi-locataires.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent pas avoir de déploiement HDS existant actif dans Control Hub.
- Les organisations clientes ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans le Control Hub.
- Une fois que le HDS multi-tenant est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l’organisation partenaire commencent à utiliser le HDS multi-tenant pour leurs services de chiffrement.
L’organisation partenaire et les organisations des clients qu’ils gèrent seront sur le même déploiement HDS multi-tenant.
L’organisation partenaire n’utilisera plus KMS sur le Cloud après le déploiement de HDS multi-tenant.
- Il n'y a aucun mécanisme pour déplacer les clés vers Cloud KMS après un déploiement HDS.
- Actuellement, chaque déploiement HDS multi-tenant ne peut avoir qu'un seul cluster, avec plusieurs nœuds en dessous.
- Les rôles d'administrateur ont certaines limites ; voir la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été affectés à l'utilisateur.
- Administrateur complet : administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-tenant de bout en bout de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations de tenants assignés - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service en domaines de confiance distincts, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons tout d’abord ce cas du Cloud pur, dans lequel Cisco fournit toutes les fonctions dans ses domaines du Cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex qui s’exécute sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions de sécurité du domaine (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage d’identité et de contenu) restent dans les domaines de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre entreprise peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres entreprises. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé pour l’espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH séparé pour obtenir la clé à partir du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d’origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour des détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybrides multi-tenant.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
-
L’équipement, le logiciel et l’accès réseau décrits dans Préparer votre environnement.
La perte complète de la configuration ISO que vous créez pour la sécurité des données hybrides ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l’espace et les autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Préparez-vous à effectuer une reprise d'activité rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de la base de données ou un sinistre du centre de données.
Il n'y a aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus d’installation de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides multi-locataire :
-
Configurer la sécurité des données hybrides—Ceci inclut la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations de tenants au cluster et la gestion de leurs clés principales du client (CMK). Ceci permettra à tous les utilisateurs de vos organisations clientes d’utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement de sécurité des données hybrides–Le Cloud Webex fournit automatiquement les mises à jour en cours. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus–Si vous rencontrez des problèmes lors du déploiement ou de l'utilisation de la sécurité des données hybrides, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Dans le centre de données de votre entreprise, vous déployez la sécurité des données hybrides sous la forme d’un seul cluster de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise le serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de base de données dans l'outil d'installation HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs nœuds garantit que le service n'est pas interrompu au cours d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Hub partenaire. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données en veille pour la reprise d'activité après sinistre
Pendant le déploiement, vous configurez un centre de données de veille sécurisé. En cas de panne d'un centre de données, vous pouvez manuellement échouer votre déploiement sur le centre de données en veille.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement.
Les nœuds de sécurité des données hybrides actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy—La valeur par défaut si vous n'utilisez pas le nœud HDS Configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy sans inspection transparent—Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy sans inspection. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection–Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FDQN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
-
Port du proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification—Choisissez parmi les types d'authentification suivants :
-
Aucune—Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Résumé—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 (ou version ultérieure) est installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote SQL Server JDBC 4.6 Cette version du pilote prend en charge SQL Server Always On ( Toujours sur les instances de cluster de basculement et Toujours sur les groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, le passage du trafic (qui ne s’inspecte pas) à
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que la fonctionnalité HDS multi-tenant est activée pour votre organisation partenaire et obtenez les informations d'identification d'un compte avec le partenaire administrateur avec droits d'administrateur complet et d'administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux organisateurs distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences de l’organisateur virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, selon les exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Dans la mesure où les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Vérifiez que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur toute machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit avoir la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Configurer un cluster de sécurité des données hybrides
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous au Hub partenaire, puis cliquez sur Services. |
| 2 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel . Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de la section Aide . Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Sinon, cliquez sur Voir le guide de déploiement de sécurité des données hybrides pour vérifier si une version plus récente de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO , vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans Exigences du certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion de la base de données dans Paramètres avancés. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil d'installation, tapez sur |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier , saisissez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource informatique , choisissez la ressource informatique de destination, puis cliquez sur Suivant. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration , cliquez sur 4 CPU puis cliquez sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage , cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Sur la page Sélectionner les réseaux , choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la MV. |
| 10 |
Sur la page Personnaliser le modèle , configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes contenues dans Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’organisateur HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration . |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l’URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud , saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Ajouter au bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur la page Sécurité des données hybrides , le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources . Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes contenues dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes contenues dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes contenues dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes contenues dans Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations de tenants sur la sécurité des données hybrides multi-tenants
Activer HDS multi-tenant sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS multi-tenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS . |
Ajouter des organisations de tenants dans Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez qu'un client soit affecté. |
| 5 |
Allez à l'onglet Clients attribués . |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales du client (CMK) à l’aide de l’outil d’installation HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations de tenants dans Partner Hub. Exécutez l’outil d’installation HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passe de Gestion de CMK en attente à CMK géré. |
| 13 |
Si la création de CMK a échoué, une erreur s'affiche. |
Supprimer les organisations de tenants
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de chiffrement et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou le gestionnaire de votre compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur l'onglet Ressources , cliquez sur le cluster à partir duquel vous souhaitez supprimer les organisations des clients. |
| 5 |
Dans la page qui s’ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations des clients qui sont affichées, cliquez sur ... sur le côté droit de l'organisation du client que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme détaillé dans Révoquer les CMK des tenants supprimés de HDS.
Révoquer les CMK des tenants supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations des tenants. Exécutez l’outil d’installation HDS pour terminer le processus de suppression des organisations des clients qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation du client n’apparaît plus dans le tableau. |
| 13 |
Si la révocation de CMK échoue, une erreur s'affiche. |
Tester votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybrides multi-tenant.
-
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides multi-tenant.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant que l’un des utilisateurs de l’organisation du client, puis créez un espace. Si vous désactivez le déploiement de sécurité des données hybrides, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies des clés de chiffrement mises en cache par le client sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides. |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
| 2 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster . |
| 6 |
À la page Paramètres du cluster, sous Programmation de la mise à niveau, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour sur le jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce–L’ancien et le nouveau mot de passe fonctionnent tous deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle–Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complet de partenaire.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lorsque vous ouvrez le conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle MV de nœud de sécurité des données hybrides et enregistrez-le à l'aide du nouveau fichier de configuration ISO. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification de l'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la MV. (Dans le panneau de navigation de gauche, faites un clic droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la MV, n'oubliez pas de démonter le fichier de configuration ISO. Sans le fichier ISO, vous ne pouvez pas utiliser la MV pour accéder à vos données de sécurité. |
Récupération après sinistre en utilisant le centre de données en veille
Le service le plus critique que fournit votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation qui est affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données de sécurité des données hybrides ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu du client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre cause l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données en veille.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer un ISO de configuration pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >Lecteur CD/DVD 1 et sélectionnez Fichier ISO de la banque de données. Vérifiez que Connecté et Se connecter à la mise sous tension sont cochés afin que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le Hub partenaire. Reportez-vous à Enregistrer le premier nœud dans le cluster. |
| 8 |
Répétez le processus pour chaque nœud dans le centre de données en veille. |
Que faire ensuite
(Facultatif) Démonter ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont repris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle norme ISO ou mettez à jour une norme ISO via l'outil de configuration, vous devez monter la norme ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont repris les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appareil serveur vCenter, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO de la banque de données. |
| 4 |
Mettez le nœud HDS sous tension et vérifiez qu’il n’y a aucune alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération à tour de rôle pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont injoignables, ou si le cluster fonctionne si lentement que le temps d'expiration est demandé. Si les utilisateurs ne peuvent pas joindre votre cluster de sécurité des données hybrides, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et d’adresser rapidement toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations ajoutées |
Terminez l’installation en créant des CMK pour les organisations de tenants nouvellement ajoutées en utilisant l’outil d’installation HDS. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations supprimées |
Terminez l’installation en révoquant les CMK des organisations de tenants qui ont été supprimées à l’aide de l’outil d’installation HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez Partner Hub pour trouver des alertes et corrigez les éléments que vous y trouverez. Voir l’image ci-dessous pour référence. |
| 2 |
Vérifiez la sortie du serveur syslog pour connaître l’activité du déploiement de sécurité des données hybrides. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous fermez votre cluster de sécurité des données hybrides (en le supprimant dans le Partner Hub ou en arrêtant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l’accès à la base de données du magasin de mots de passe, les utilisateurs de l’application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec les clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme guide pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat de serveur de votre autorité de certification, enregistrez-le en tant que |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de regroupement de certificats appelé
|
| 4 |
Créez le fichier .p12 avec le nom facile
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au Cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l’établissement des connexions websocket (wss :) nécessaires pour la sécurité des données hybrides. Ces sections fournissent des conseils sur la façon de configurer différentes versions de Squid pour ignorer WSS : le trafic pour un fonctionnement correct des services.
Squid 4 et 5
Ajoutez la on_unsupported_protocol directive à squid.conf :
on_unsupported_protocol tunnel tousSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid. conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl ::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl étape1 at_step SslBump1 acl étape2 at_step SslBump2 acl étape3 at_step SslBump3 ssl_bump peek étape1 tous ssl_bump stare étape2 tous ssl_bump bump étape3 tousInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctions ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-tenant.
|
Date |
Modifications apportées |
|---|---|
|
30 janvier 2025 |
Ajout de la version 2022 du serveur SQL à la liste des serveurs SQL pris en charge dans Exigences du serveur de base de données. |
|
15 janvier 2025 |
Ajout des limites de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une remarque dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des Exigences de l’organisateur virtuel, Flux des tâches de déploiement de sécurité des données hybrides et Installer l’OVA de l’organisateur HDS pour afficher la nouvelle exigence d’ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux des tâches de désactivation HDS multi-tenant
Suivez ces étapes pour désactiver complètement le HDS multi-tenant.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations des tenants. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des tenants supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters du Hub partenaire en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte de statut HDS. |
Commencer avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été au centre de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux entreprises de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d’autres services de sécurité. Cette configuration permet à l’organisation partenaire d’avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées de l’accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS si nécessaire. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion des clés et l’infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataire assure la souveraineté et le contrôle des données
- Le contenu généré par l’utilisateur est protégé contre l’accès externe, comme les fournisseurs de services en nuage.
- Les partenaires de confiance locaux gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option d'assistance technique locale, si fournie par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et gérer les clients sous un système de sécurité des données hybrides multi-locataires.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent pas avoir de déploiement HDS existant actif dans Control Hub.
- Les organisations clientes ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans le Control Hub.
- Une fois que le HDS multi-tenant est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l’organisation partenaire commencent à utiliser le HDS multi-tenant pour leurs services de chiffrement.
L’organisation partenaire et les organisations des clients qu’ils gèrent seront sur le même déploiement HDS multi-tenant.
L’organisation partenaire n’utilisera plus KMS sur le Cloud après le déploiement de HDS multi-tenant.
- Il n'y a aucun mécanisme pour déplacer les clés vers Cloud KMS après un déploiement HDS.
- Actuellement, chaque déploiement HDS multi-tenant ne peut avoir qu'un seul cluster, avec plusieurs nœuds en dessous.
- Les rôles d'administrateur ont certaines limites ; voir la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été affectés à l'utilisateur.
- Administrateur complet : administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-tenant de bout en bout de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations de tenants assignés - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service en domaines de confiance distincts, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons tout d’abord ce cas du Cloud pur, dans lequel Cisco fournit toutes les fonctions dans ses domaines du Cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex qui s’exécute sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions de sécurité du domaine (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage d’identité et de contenu) restent dans les domaines de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre entreprise peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres entreprises. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé pour l’espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH séparé pour obtenir la clé à partir du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d’origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour des détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybrides multi-tenant.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
-
L’équipement, le logiciel et l’accès réseau décrits dans Préparer votre environnement.
La perte complète de la configuration ISO que vous créez pour la sécurité des données hybrides ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l’espace et les autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Préparez-vous à effectuer une reprise d'activité rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de la base de données ou un sinistre du centre de données.
Il n'y a aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus d’installation de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides multi-locataire :
-
Configurer la sécurité des données hybrides—Ceci inclut la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations de tenants au cluster et la gestion de leurs clés principales du client (CMK). Ceci permettra à tous les utilisateurs de vos organisations clientes d’utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement de sécurité des données hybrides–Le Cloud Webex fournit automatiquement les mises à jour en cours. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus–Si vous rencontrez des problèmes lors du déploiement ou de l'utilisation de la sécurité des données hybrides, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Dans le centre de données de votre entreprise, vous déployez la sécurité des données hybrides sous la forme d’un seul cluster de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise le serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de base de données dans l'outil d'installation HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs nœuds garantit que le service n'est pas interrompu au cours d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Hub partenaire. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données en veille pour la reprise d'activité après sinistre
Pendant le déploiement, vous configurez un centre de données de veille sécurisé. En cas de panne d'un centre de données, vous pouvez manuellement échouer votre déploiement sur le centre de données en veille.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement.
Les nœuds de sécurité des données hybrides actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy—La valeur par défaut si vous n'utilisez pas le nœud HDS Configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy sans inspection transparent—Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy sans inspection. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection–Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FDQN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
-
Port du proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification—Choisissez parmi les types d'authentification suivants :
-
Aucune—Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Résumé—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 (ou version ultérieure) est installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote SQL Server JDBC 4.6 Cette version du pilote prend en charge SQL Server Always On ( Toujours sur les instances de cluster de basculement et Toujours sur les groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, le passage du trafic (qui ne s’inspecte pas) à
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que la fonctionnalité HDS multi-tenant est activée pour votre organisation partenaire et obtenez les informations d'identification d'un compte avec le partenaire administrateur avec droits d'administrateur complet et d'administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux organisateurs distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences de l’organisateur virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, selon les exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Dans la mesure où les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Vérifiez que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur toute machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit avoir la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Configurer un cluster de sécurité des données hybrides
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous au Hub partenaire, puis cliquez sur Services. |
| 2 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel . Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de la section Aide . Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Sinon, cliquez sur Voir le guide de déploiement de sécurité des données hybrides pour vérifier si une version plus récente de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO , vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans Exigences du certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion de la base de données dans Paramètres avancés. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil d'installation, tapez sur |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier , saisissez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource informatique , choisissez la ressource informatique de destination, puis cliquez sur Suivant. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration , cliquez sur 4 CPU puis cliquez sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage , cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Sur la page Sélectionner les réseaux , choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la MV. |
| 10 |
Sur la page Personnaliser le modèle , configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes contenues dans Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’organisateur HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration . |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Entrez l’URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud , saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Ajouter au bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur la page Sécurité des données hybrides , le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources . Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes contenues dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes contenues dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes contenues dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes contenues dans Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations de tenants sur la sécurité des données hybrides multi-tenants
Activer HDS multi-tenant sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS multi-tenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS . |
Ajouter des organisations de tenants dans Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez qu'un client soit affecté. |
| 5 |
Allez à l'onglet Clients attribués . |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales du client (CMK) à l’aide de l’outil d’installation HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations de tenants dans Partner Hub. Exécutez l’outil d’installation HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passe de Gestion de CMK en attente à CMK géré. |
| 13 |
Si la création de CMK a échoué, une erreur s'affiche. |
Supprimer les organisations de tenants
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de chiffrement et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou le gestionnaire de votre compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur l'onglet Ressources , cliquez sur le cluster à partir duquel vous souhaitez supprimer les organisations des clients. |
| 5 |
Dans la page qui s’ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations des clients qui sont affichées, cliquez sur ... sur le côté droit de l'organisation du client que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme détaillé dans Révoquer les CMK des tenants supprimés de HDS.
Révoquer les CMK des tenants supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations des tenants. Exécutez l’outil d’installation HDS pour terminer le processus de suppression des organisations des clients qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation du client n’apparaît plus dans le tableau. |
| 13 |
Si la révocation de CMK échoue, une erreur s'affiche. |
Tester votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybrides multi-tenant.
-
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides multi-tenant.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant que l’un des utilisateurs de l’organisation du client, puis créez un espace. Si vous désactivez le déploiement de sécurité des données hybrides, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies des clés de chiffrement mises en cache par le client sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides. |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
| 2 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster . |
| 6 |
À la page Paramètres du cluster, sous Programmation de la mise à niveau, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour sur le jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce–L’ancien et le nouveau mot de passe fonctionnent tous deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle–Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complet de partenaire.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lorsque vous ouvrez le conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
mondial_agent_https_Proxy=http://USERNAME:PASSWORD@SERVER_ip : port -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle MV de nœud de sécurité des données hybrides et enregistrez-le à l'aide du nouveau fichier de configuration ISO. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification de l'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la MV. (Dans le panneau de navigation de gauche, faites un clic droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la MV, n'oubliez pas de démonter le fichier de configuration ISO. Sans le fichier ISO, vous ne pouvez pas utiliser la MV pour accéder à vos données de sécurité. |
Récupération après sinistre en utilisant le centre de données en veille
Le service le plus critique que fournit votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation qui est affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données de sécurité des données hybrides ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu du client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre cause l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données en veille.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer un ISO de configuration pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >Lecteur CD/DVD 1 et sélectionnez Fichier ISO de la banque de données. Vérifiez que Connecté et Se connecter à la mise sous tension sont cochés afin que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le Hub partenaire. Reportez-vous à Enregistrer le premier nœud dans le cluster. |
| 8 |
Répétez le processus pour chaque nœud dans le centre de données en veille. |
Que faire ensuite
(Facultatif) Démonter ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont repris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle norme ISO ou mettez à jour une norme ISO via l'outil de configuration, vous devez monter la norme ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont repris les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appareil serveur vCenter, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO de la banque de données. |
| 4 |
Mettez le nœud HDS sous tension et vérifiez qu’il n’y a aucune alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération à tour de rôle pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont injoignables, ou si le cluster fonctionne si lentement que le temps d'expiration est demandé. Si les utilisateurs ne peuvent pas joindre votre cluster de sécurité des données hybrides, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et d’adresser rapidement toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations ajoutées |
Terminez l’installation en créant des CMK pour les organisations de tenants nouvellement ajoutées en utilisant l’outil d’installation HDS. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations supprimées |
Terminez l’installation en révoquant les CMK des organisations de tenants qui ont été supprimées à l’aide de l’outil d’installation HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez Partner Hub pour trouver des alertes et corrigez les éléments que vous y trouverez. Voir l’image ci-dessous pour référence. |
| 2 |
Vérifiez la sortie du serveur syslog pour connaître l’activité du déploiement de sécurité des données hybrides. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous fermez votre cluster de sécurité des données hybrides (en le supprimant dans le Partner Hub ou en arrêtant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l’accès à la base de données du magasin de mots de passe, les utilisateurs de l’application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec les clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme guide pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat de serveur de votre autorité de certification, enregistrez-le en tant que |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de regroupement de certificats appelé
|
| 4 |
Créez le fichier .p12 avec le nom facile
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au Cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l’établissement des connexions websocket (wss :) nécessaires pour la sécurité des données hybrides. Ces sections fournissent des conseils sur la façon de configurer différentes versions de Squid pour ignorer WSS : le trafic pour un fonctionnement correct des services.
Squid 4 et 5
Ajoutez la on_unsupported_protocol directive à squid.conf :
on_unsupported_protocol tunnel tousSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid. conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl ::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl étape1 at_step SslBump1 acl étape2 at_step SslBump2 acl étape3 at_step SslBump3 ssl_bump peek étape1 tous ssl_bump stare étape2 tous ssl_bump bump étape3 tousInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctions ou fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-tenant.
|
Date |
Modifications apportées |
|---|---|
|
04 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 du serveur SQL à la liste des serveurs SQL pris en charge dans Exigences du serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limites de la sécurité des données hybrides multi-tenant. |
|
8 janvier 2025 |
Ajout d'une remarque dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des Exigences de l’organisateur virtuel, Flux des tâches de déploiement de sécurité des données hybrides et Installer l’OVA de l’organisateur HDS pour afficher la nouvelle exigence d’ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux des tâches de désactivation HDS multi-tenant
Suivez ces étapes pour désactiver complètement le HDS multi-tenant.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations des tenants. |
| 2 |
Révoquez les CMK de tous les clients, comme indiqué dans Révoquer les CMK des tenants supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters du Hub partenaire en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte de statut HDS. |
Commencer avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été au centre de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux entreprises de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d’autres services de sécurité. Cette configuration permet à l’organisation partenaire d’avoir un contrôle complet sur le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées de l’accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS si nécessaire. Chaque instance peut prendre en charge plusieurs organisations clientes contrairement à un déploiement HDS normal qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, car le service de gestion des clés et l’infrastructure de sécurité comme les centres de données sont la propriété du partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataire assure la souveraineté et le contrôle des données
- Le contenu généré par l’utilisateur est protégé contre l’accès externe, comme les fournisseurs de services en nuage.
- Les partenaires de confiance locaux gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option d'assistance technique locale, si fournie par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et gérer les clients sous un système de sécurité des données hybrides multi-locataires.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent pas avoir de déploiement HDS existant actif dans Control Hub.
- Les organisations clientes ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans le Control Hub.
- Une fois que le HDS multi-tenant est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l’organisation partenaire commencent à utiliser le HDS multi-tenant pour leurs services de chiffrement.
L’organisation partenaire et les organisations des clients qu’ils gèrent seront sur le même déploiement HDS multi-tenant.
L’organisation partenaire n’utilisera plus KMS sur le Cloud après le déploiement de HDS multi-tenant.
- Il n'y a aucun mécanisme pour déplacer les clés vers Cloud KMS après un déploiement HDS.
- Actuellement, chaque déploiement HDS multi-tenant ne peut avoir qu'un seul cluster, avec plusieurs nœuds en dessous.
- Les rôles d'administrateur ont certaines limites ; voir la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été affectés à l'utilisateur.
- Administrateur complet : administrateur de l'organisation partenaire qui est autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-tenant de bout en bout de toutes les organisations clientes - Droits d'administrateur complet du partenaire et d'administrateur complet requis.
- Gestion des organisations de tenants assignés - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service en domaines de confiance distincts, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons tout d’abord ce cas du Cloud pur, dans lequel Cisco fournit toutes les fonctions dans ses domaines du Cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex qui s’exécute sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions de sécurité du domaine (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage d’identité et de contenu) restent dans les domaines de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre entreprise peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres entreprises. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé pour l’espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH séparé pour obtenir la clé à partir du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d’origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour des détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybrides multi-tenant.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
-
L’équipement, le logiciel et l’accès réseau décrits dans Préparer votre environnement.
La perte complète de la configuration ISO que vous créez pour la sécurité des données hybrides ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l’espace et les autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Préparez-vous à effectuer une reprise d'activité rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de la base de données ou un sinistre du centre de données.
Il n'y a aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS.
Processus d’installation de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides multi-locataire :
-
Configurer la sécurité des données hybrides—Ceci inclut la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations de tenants au cluster et la gestion de leurs clés principales du client (CMK). Ceci permettra à tous les utilisateurs de vos organisations clientes d’utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont abordées en détail dans les trois prochains chapitres.
-
Maintenez votre déploiement de sécurité des données hybrides–Le Cloud Webex fournit automatiquement les mises à jour en cours. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus–Si vous rencontrez des problèmes lors du déploiement ou de l'utilisation de la sécurité des données hybrides, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Dans le centre de données de votre entreprise, vous déployez la sécurité des données hybrides sous la forme d’un seul cluster de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise le serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion de Syslogd et de base de données dans l'outil d'installation HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d'avoir plusieurs nœuds garantit que le service n'est pas interrompu au cours d'une mise à niveau logicielle ou d'une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Hub partenaire. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données en veille pour la reprise d'activité après sinistre
Pendant le déploiement, vous configurez un centre de données de veille sécurisé. En cas de panne d'un centre de données, vous pouvez manuellement échouer votre déploiement sur le centre de données en veille.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement.
Les nœuds de sécurité des données hybrides actifs doivent toujours être dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy—La valeur par défaut si vous n'utilisez pas le nœud HDS Configuration Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy sans inspection transparent—Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy sans inspection. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent à effet tunnel ou inspection–Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
IP/FDQN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
-
Port du proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification—Choisissez parmi les types d'authentification suivants :
-
Aucune—Aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Résumé—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences pour la sécurité des données hybrides multi-locataires
Configuration minimale requise pour la licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité multi-tenant est activée.
-
Organisations des tenants : Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Exigences requises pour Docker Desktop
Avant d'installer vos nœuds HDS, vous devez exécuter un programme d'installation par Docker Desktop. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients sans licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l’outil de configuration HDS en utilisant le bureau Podman pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le NC ne doit pas contenir un * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides pour les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Configuration minimale requise pour l’organisateur virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster répondent aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 (ou version ultérieure) est installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous avez une version antérieure d'ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration minimale requise pour le serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun d'eux sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote Postgres JDBC 42.2.5 |
Pilote SQL Server JDBC 4.6 Cette version du pilote prend en charge SQL Server Always On ( Toujours sur les instances de cluster de basculement et Toujours sur les groupes de disponibilité). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez disposer de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L’outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l’authentification Windows pour accéder à la base de données du magasin de mots de passe. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences en matière de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction de l’application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil d’installation HDS |
TCP |
443 |
HTTPS sortante |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients doivent accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, pour des raisons administratives.
Les URL des hôtes de l'identité commune (IC) sont spécifiques à la région. Voici les organisateurs actuels de CI :
|
Région |
URL de l'identité commune de l'organisateur |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Émirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:). Pour contourner ce problème, voir Configurer les proxys squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, en contournant (ne pas inspecter) le trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que la fonctionnalité HDS multi-tenant est activée pour votre organisation partenaire et obtenez les informations d'identification d'un compte avec le partenaire administrateur avec droits d'administrateur complet et d'administrateur complet. Assurez-vous que votre organisation cliente Webex est activée pour le Pack Pro pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations des clients ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d’au moins deux organisateurs distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences de l’organisateur virtuel. |
| 4 |
Préparez le serveur de base de données qui servira de banque de données principale pour le cluster, selon les exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créer une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier de configuration ISO généré pour les nœuds de sécurité des données hybrides. Dans la mesure où les nœuds de sécurité des données hybrides stockent les clés utilisées dans le chiffrement et le déchiffrement du contenu, l’incapacité à maintenir un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l’application Webex cachent leurs clés, de sorte qu’une panne ne soit pas immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent conserver des sauvegardes fréquentes de la base de données et du fichier de configuration ISO, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Vérifiez que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences en matière de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur toute machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui construit les informations de configuration locales pour tous les nœuds de sécurité des données hybrides. Vous aurez peut-être besoin d’une licence Docker Desktop. Voir Exigences requises pour le bureau Docker pour plus d’informations. Pour installer et exécuter l’outil d’installation HDS, la machine locale doit avoir la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec la sécurité des données hybrides, assurez-vous qu’il répond aux exigences requises pour le serveur proxy. |
Configurer un cluster de sécurité des données hybrides
Flux des tâches de déploiement de sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d’installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil d’installation HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console MV et définissez les informations d'identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud dans le cluster Enregistrez la MV avec le Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez HDS multi-tenant sur Partner Hub. Activez HDS et gérez les organisations de tenants sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d’installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous au Hub partenaire, puis cliquez sur Services. |
| 2 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel . Les anciennes versions du pack logiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de sécurité des données hybrides. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger le fichier OVA à tout moment à partir de la section Aide . Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Sinon, cliquez sur Voir le guide de déploiement de sécurité des données hybrides pour vérifier si une version plus récente de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets.
Si vous n'avez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil d'installation HDS pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l’outil de configuration HDS en utilisant le bureau Podman pour plus de détails.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO , vous avez les options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences requises dans Exigences du certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour HDS pour accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l’outil d’installation HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison de différences de connectivité, les nœuds HDS peuvent établir la connexion TLS même si la machine de l’outil d’installation HDS ne peut pas la tester avec succès). | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion de la base de données dans Paramètres avancés. Généralement, ce paramètre est le seul que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service . Les mots de passe des comptes de service ont une durée de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour arrêter l’outil d’installation, saisissez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n’avons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier , saisissez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource informatique , choisissez la ressource informatique de destination, puis cliquez sur Suivant. Une vérification de validation s'effectue. Une fois le modèle terminé, les détails du modèle s’affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration , cliquez sur 4 CPU puis cliquez sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage , cliquez sur Suivant pour accepter le format de disque par défaut et la politique de stockage MV. |
| 9 |
Sur la page Sélectionner les réseaux , choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la MV. |
| 10 |
Sur la page Personnaliser le modèle , configurez les paramètres réseau suivants :
Si vous le préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes contenues dans Configurer la MV de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau pendant le déploiement OVA a été testée avec ESXi 7.0. L’option n’est peut-être pas disponible dans les versions précédentes. |
| 11 |
Faites un clic droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte de la MV. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console MV du nœud de sécurité des données hybrides pour la première fois et définissez les informations d'identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l’OVA de l’organisateur HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration . |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il doit être exposé uniquement sur la base du « besoin de savoir », pour l'accès des MV de sécurité des données hybrides et de tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l’URL d’installation du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, effectuez ces étapes et consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la carte de sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s’ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud , saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
| 6 |
Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine entièrement qualifié (FQDN) de votre nœud et cliquez sur Ajouter au bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la MV de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l’onglet pour revenir à la page de sécurité des données hybrides du Partner Hub. Sur la page Sécurité des données hybrides , le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources . Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Vérifiez que les bloqueurs de pop-ups dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes contenues dans Installer l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle MV, répétez les étapes contenues dans Configurer la MV de sécurité des données hybrides. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes contenues dans Charger et monter la configuration HDS ISO. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes contenues dans Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations de tenants sur la sécurité des données hybrides multi-tenants
Activer HDS multi-tenant sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à utiliser HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous que vous avez terminé la configuration de votre cluster HDS multi-tenant avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS . |
Ajouter des organisations de tenants dans Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez qu'un client soit affecté. |
| 5 |
Allez à l'onglet Clients attribués . |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l’écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales du client (CMK) à l’aide de l’outil d’installation HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations de tenants dans Partner Hub. Exécutez l’outil d’installation HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passe de Gestion de CMK en attente à CMK géré. |
| 13 |
Si la création de CMK a échoué, une erreur s'affiche. |
Supprimer les organisations de tenants
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de chiffrement et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou le gestionnaire de votre compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur l'onglet Ressources , cliquez sur le cluster à partir duquel vous souhaitez supprimer les organisations des clients. |
| 5 |
Dans la page qui s’ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations des clients qui sont affichées, cliquez sur ... sur le côté droit de l'organisation du client que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes, comme détaillé dans Révoquer les CMK des tenants supprimés de HDS.
Révoquer les CMK des tenants supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations des tenants. Exécutez l’outil d’installation HDS pour terminer le processus de suppression des organisations des clients qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil d'installation ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à l’organisateur local. Utilisez un navigateur Web pour aller à l’organisateur local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO , cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et chargez-le. |
| 11 |
Allez à l’onglet Gestion des CMK des tenants , où vous trouverez les trois façons suivantes de gérer les CMK des tenants.
|
| 12 |
Une fois la révocation de CMK réussie, l’organisation du client n’apparaît plus dans le tableau. |
| 13 |
Si la révocation de CMK échoue, une erreur s'affiche. |
Tester votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybrides multi-tenant.
-
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides multi-tenant.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant que l’un des utilisateurs de l’organisation du client, puis créez un espace. Si vous désactivez le déploiement de sécurité des données hybrides, le contenu des espaces créés par les utilisateurs n’est plus accessible une fois que les copies des clés de chiffrement mises en cache par le client sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés passent sur votre déploiement de sécurité des données hybrides. |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
| 2 |
Dans la section Services du Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services sur le Cloud, recherchez la sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster . |
| 6 |
À la page Paramètres du cluster, sous Programmation de la mise à niveau, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour sur le jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation douce–L’ancien et le nouveau mot de passe fonctionnent tous deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle–Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d’installation nécessite les identifiants d’un compte Partner Hub avec des droits d’administrateur complet de partenaire.
Si vous n'avez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil d'installation HDS pour les étapes 1.a à 1.e dans la procédure ci-dessous. Voir Exécuter l’outil de configuration HDS en utilisant le bureau Podman pour plus de détails.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lorsque vous ouvrez le conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle MV de nœud de sécurité des données hybrides et enregistrez-le à l'aide du nouveau fichier de configuration ISO. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification de l'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la MV. (Dans le panneau de navigation de gauche, faites un clic droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la MV, n'oubliez pas de démonter le fichier de configuration ISO. Sans le fichier ISO, vous ne pouvez pas utiliser la MV pour accéder à vos données de sécurité. |
Récupération après sinistre en utilisant le centre de données en veille
Le service le plus critique que fournit votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation qui est affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données de sécurité des données hybrides ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu du client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre cause l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données en veille.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer un ISO de configuration pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l’accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >Lecteur CD/DVD 1 et sélectionnez Fichier ISO de la banque de données. Vérifiez que Connecté et Se connecter à la mise sous tension sont cochés afin que les changements de configuration mis à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le Hub partenaire. Reportez-vous à Enregistrer le premier nœud dans le cluster. |
| 8 |
Répétez le processus pour chaque nœud dans le centre de données en veille. |
Que faire ensuite
(Facultatif) Démonter ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont repris la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle norme ISO ou mettez à jour une norme ISO via l'outil de configuration, vous devez monter la norme ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont repris les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appareil serveur vCenter, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO de la banque de données. |
| 4 |
Mettez le nœud HDS sous tension et vérifiez qu’il n’y a aucune alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération à tour de rôle pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont injoignables, ou si le cluster fonctionne si lentement que le temps d'expiration est demandé. Si les utilisateurs ne peuvent pas joindre votre cluster de sécurité des données hybrides, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et d’adresser rapidement toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activer HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations ajoutées |
Terminez l’installation en créant des CMK pour les organisations de tenants nouvellement ajoutées en utilisant l’outil d’installation HDS. |
|
L’installation de l’organisation du tenant n’est pas terminée pour les organisations supprimées |
Terminez l’installation en révoquant les CMK des organisations de tenants qui ont été supprimées à l’aide de l’outil d’installation HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez Partner Hub pour trouver des alertes et corrigez les éléments que vous y trouverez. Voir l’image ci-dessous pour référence. |
| 2 |
Vérifiez la sortie du serveur syslog pour connaître l’activité du déploiement de sécurité des données hybrides. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous fermez votre cluster de sécurité des données hybrides (en le supprimant dans le Partner Hub ou en arrêtant tous les nœuds), que vous perdez votre fichier ISO de configuration ou que vous perdez l’accès à la base de données du magasin de mots de passe, les utilisateurs de l’application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec les clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécuter l’outil de configuration HDS à l’aide du bureau Podman
Podman est un outil de gestion de conteneurs libre et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé à partir de https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'authentification) via les variables d'environnement Docker lorsque vous ouvrez le conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier de configuration ISO que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d’autorisation
-
-
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite la norme ISO pour configurer votre hôte de sécurité des données hybrides.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme guide pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat du serveur de votre autorité de certification, enregistrez-le sous |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier groupé de certificats appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les prérequis pour la sécurité des données hybrides. Vous utiliserez le hdsnode.p12 fichier et le mot de passe que vous avez défini dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au Cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions websocket (wss:) requises par la sécurité des données hybrides. Ces sections fournissent des instructions sur la façon de configurer différentes versions de Squid pour ignorer le wss: trafic pour le bon fonctionnement des services.
Squid 4 et 5
Ajouter la on_unsupported_protocol directive à squid.conf :
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et toutes les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multilocataires.
|
Date |
Modifications apportées |
|---|---|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 du serveur SQL à la liste des serveurs SQL pris en charge dans Exigences du serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour Exigences de l'hôte virtuel, Flux de tâches de déploiement de la sécurité des données hybrideset Installation de l'OVA de l'hôte HDS pour afficher les nouvelles exigences d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux de tâches de désactivation HDS multi-locataire
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme mentionné dans Supprimer les organisations locataires. |
| 2 |
Révoquez les CMK de tous les clients, comme mentionné dans Révoquez les CMK des locataires supprimés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme mentionné dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l’une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres sur la page de présentation de Hybrid Data Security et cliquez sur Désactiver HDS sur la carte Statut HDS. |
Démarrez avec la sécurité des données hybrides multi-locataires
Présentation de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été l’objectif principal de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, activé par les clients de l'application Webex interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de l'application Webex bénéficient d'un cryptage de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybrides multi-locataires permet aux organisations de tirer parti de HDS via un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le cryptage sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire d'avoir un contrôle total sur le déploiement et la gestion des clés de chiffrement et garantit que les données utilisateur des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires configurent des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité comme les centres de données appartiennent au partenaire local de confiance.
Comment la sécurité des données hybrides multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par l'utilisateur est protégé contre tout accès externe, comme celui des fournisseurs de services cloud.
- Les partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils ont déjà une relation établie.
- Option de support technique local, si fourni par le partenaire.
- Prend en charge le contenu des réunions, de la messagerie et des appels.
Ce document vise à aider les organisations partenaires à configurer et à gérer les clients dans le cadre d'un système de sécurité des données hybride multi-locataires.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS existant actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois Multi-Tenant HDS déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à exploiter Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elles gèrent seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus Cloud KMS après le déploiement de Multi-Tenant HDS.
- Il n’existe aucun mécanisme permettant de déplacer les clés vers Cloud KMS après un déploiement HDS.
- Actuellement, chaque déploiement HDS multi-locataire ne peut avoir qu'un seul cluster, avec plusieurs nœuds en dessous.
- Les rôles d’administrateur ont certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Partenaire Administrateur complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients que l'administrateur a provisionnés ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution de rôles.
- Configuration et gestion HDS multi-locataires de bout en bout de toutes les organisations clientes - Droits d'administrateur complet et d'administrateur complet du partenaire requis.
- Gestion des organisations locataires attribuées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud Webex sépare différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d’abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses domaines cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce diagramme, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et s'est authentifié auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent dans le domaine de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l’application Webex pour collaborer avec des participants externes d’autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la demande vers le cloud Webex via un canal ECDH distinct pour obtenir la clé du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer Hybrid Data Security, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams.
-
L'équipement, les logiciels et l'accès au réseau décrits dans Préparez votre environnement.
La perte complète de la configuration ISO que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une récupération rapide après sinistre si une catastrophe se produit, comme une panne de disque de base de données ou une catastrophe du centre de données.
Il n’existe aucun mécanisme permettant de déplacer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataires :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs de vos organisations clientes d'utiliser votre cluster Hybrid Data Security pour les fonctions de sécurité.
Les phases de configuration, d’activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à niveau continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser des notifications à l'écran et configurer des alertes par e-mail dans Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d’entreprise, vous déployez Hybrid Data Security en tant que cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et votre base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par cluster. Le fait d’avoir plusieurs nœuds garantit que le service n’est pas interrompu pendant une mise à niveau logicielle ou une autre activité de maintenance sur un nœud. (Le cloud Webex ne met à niveau qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous configurez un centre de données de secours sécurisé. En cas de sinistre dans un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées les unes avec les autres, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds Hybrid Data Security actifs doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le Trust Store de configuration du nœud HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient nécessiter aucune modification pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Procuration IP/FQDN— Adresse qui peut être utilisée pour atteindre la machine proxy.
-
Port proxy— Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy— En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n’est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basic— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors d'une demande. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences relatives à la sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer la sécurité des données hybrides multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre gestionnaire de compte et assurez-vous que la fonctionnalité Multi-Tenant est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d’installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d’installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients sans licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification de la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (caractère générique). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences de l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster ont les exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous disposez d’une version antérieure d’ESXi.
-
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Configuration requise pour le serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Always On Failover Cluster Instances et Always On availability groups). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous avez besoin de la configuration suivante dans votre environnement :
-
Les nœuds HDS, l’infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L'outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Direction depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds Hybrid Data Security fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds Hybrid Data Security, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients doivent accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22, à des fins administratives.
Les URL des hôtes d’identité commune (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement du websocket (wss:) relations. Pour contourner ce problème, consultez Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème se produit, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation partenaire a activé la fonctionnalité HDS multi-locataires et obtenez les informations d'identification d'un compte avec les droits d'administrateur complet et d'administrateur complet du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas disposer de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Exigences relatives aux hôtes virtuels. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données clés pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. |
| 5 |
Pour une récupération rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L'environnement de sauvegarde reflète l'environnement de production des machines virtuelles et un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l’hôte syslog. Au minimum, pour éviter toute perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds de sécurité des données hybrides stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, l'échec du maintien d'un déploiement opérationnel entraînera la PERTE IRRÉCUPÉRABLE de ce contenu. Les clients de l'application Webex mettent en cache leurs clés, de sorte qu'une panne peut ne pas être immédiatement perceptible, mais deviendra évidente au fil du temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu autorise la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à http://127.0.0.1:8080. Vous utilisez l’instance Docker pour télécharger et exécuter l’outil de configuration HDS, qui crée les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d’une licence Docker Desktop. Consultez Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Mettre en place un cluster de sécurité des données hybrides
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuer la configuration initiale et télécharger les fichiers d'installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l’outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, comme les paramètres réseau. L'option de configuration des paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. L'option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console VM et définissez les informations d’identification de connexion. Configurez les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement d'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l’outil de configuration HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat proxy au magasin de confiance si nécessaire. |
| 7 |
Enregistrer le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybrides. |
| 8 |
Créer et enregistrer plus de nœuds Terminez la configuration du cluster. |
| 9 |
Activez Multi-Tenant HDS sur Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuer la configuration initiale et télécharger les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous avez configurés en tant que nœuds Hybrid Data Security). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Services Cloud, recherchez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l’installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à niveau de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à niveau de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
| 4 |
Vous pouvez également cliquer sur Voir le guide de déploiement de la sécurité des données hybrides pour vérifier si une version ultérieure de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de la sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite l’ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les informations d’identification d’un compte Partner Hub avec des droits d’administrateur complets.
Si vous ne disposez pas d’une licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l’outil de configuration HDS pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop pour plus de détails.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de la création du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos informations de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous avez ces options :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences de Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre banque de données de clés : | ||||||||||
| 12 |
Sélectionnez un mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine de l'outil de configuration HDS ne peut pas la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, ce paramètre est le seul que vous souhaiterez peut-être modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe approchent de leur expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||
| 17 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès uniquement aux administrateurs de sécurité des données hybrides qui doivent apporter des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l’outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour apporter des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. La récupération des clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n'avons jamais de copie de cette clé et ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page Sélectionner un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois terminé, les détails du modèle apparaissent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si vous êtes invité à choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l’option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la machine virtuelle. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous le souhaitez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes de Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option de configuration des paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. L'option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur le nœud VM, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte VM. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console de la machine virtuelle du nœud Hybrid Data Security pour la première fois et définir les informations d’identification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés au moment du déploiement d'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installer l'hôte HDS OVA, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne doit être exposé que sur la base du « besoin de savoir », pour l'accès par les machines virtuelles Hybrid Data Security et tous les administrateurs qui pourraient avoir besoin d'apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds ont récupéré les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, procédez comme suit, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrer le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services Cloud, recherchez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Dans la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Ajouter un nœud, saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco » ou « New York » ou « Dallas » |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine complet (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la machine virtuelle Hybrid Data Security. Un message apparaît indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Partner Hub. Sur la page Hybrid Data Security, le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer plus de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes de Installer l'hôte HDS OVA. |
| 2 |
Configurez la configuration initiale sur la nouvelle machine virtuelle, en répétant les étapes de Configurer la machine virtuelle Hybrid Data Security. |
| 3 |
Sur la nouvelle machine virtuelle, répétez les étapes de Télécharger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes de Configurer le nœud HDS pour l'intégration du proxy selon les besoins pour le nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Gérer les organisations locataires sur la sécurité des données hybrides multi-locataires
Activer le HDS multi-locataire sur Partner Hub
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à exploiter HDS pour les clés de chiffrement sur site et d’autres services de sécurité.
Avant de commencer
Assurez-vous d’avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte Statut HDS. |
Ajouter des organisations locataires dans Partner Hub
Dans cette tâche, vous attribuez des organisations clientes à votre cluster de sécurité des données hybrides.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services Cloud, recherchez Sécurité des données hybrides et cliquez sur Tout afficher. |
| 4 |
Cliquez sur le cluster auquel vous souhaitez attribuer un client. |
| 5 |
Accédez à l'onglet Clients attribués. |
| 6 |
Cliquez sur Ajouter des clients. |
| 7 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 8 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 9 |
Répétez les étapes 6 à 8 pour ajouter plusieurs clients à votre cluster. |
| 10 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS
Avant de commencer
Affectez les clients au cluster approprié comme détaillé dans Ajouter des organisations locataires dans Partner Hub. Exécutez l’outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les informations d’identification d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de la création du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de la sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite l’ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos informations de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez la connectivité à votre base de données pour effectuer la gestion CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK du locataire, où vous trouverez les trois méthodes suivantes pour gérer les CMK du locataire.
|
| 12 |
Une fois la création de CMK réussie, le statut dans le tableau passera de Gestion CMK en attente à Gestion CMK. |
| 13 |
Si la création de CMK échoue, une erreur s'affichera. |
Supprimer les organisations de locataires
Avant de commencer
Une fois supprimé, les utilisateurs des organisations clientes ne pourront pas exploiter HDS pour leurs besoins de cryptage et perdront tous les espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre gestionnaire de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services Cloud, recherchez Sécurité des données hybrides et cliquez sur Tout afficher. |
| 4 |
Dans l’onglet Ressources, cliquez sur le cluster duquel vous souhaitez supprimer les organisations clientes. |
| 5 |
Dans la page qui s'ouvre, cliquez sur Clients attribués. |
| 6 |
Dans la liste des organisations clientes affichées, cliquez sur ... sur le côté droit de l'organisation cliente que vous souhaitez supprimer et cliquez sur Supprimer du cluster. |
Que faire ensuite
Terminez le processus de suppression en révoquant les CMK des organisations clientes comme détaillé dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les CMK des locataires supprimés de HDS.
Avant de commencer
Supprimez les clients du cluster approprié comme détaillé dans Supprimer les organisations locataires. Exécutez l’outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les informations d’identification d’un compte Partner Hub avec des droits d’administrateur complets pour votre organisation.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de la création du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de la sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite l’ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à l'hôte local via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos informations de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour Hybrid Data Security. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK du locataire, où vous trouverez les trois méthodes suivantes pour gérer les CMK du locataire.
|
| 12 |
Une fois la révocation CMK réussie, l’organisation cliente n’apparaîtra plus dans le tableau. |
| 13 |
Si la révocation CMK échoue, une erreur s'affichera. |
Testez votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d’avoir accès au syslog pour vérifier que les demandes clés sont transmises à votre déploiement de sécurité des données hybrides multi-locataires.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l’application Webex en tant qu’utilisateur de l’organisation cliente, puis créez un espace. Si vous désactivez le déploiement de Hybrid Data Security, le contenu des espaces créés par les utilisateurs n'est plus accessible une fois que les copies mises en cache par le client des clés de chiffrement sont remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vérifier que les demandes de clés sont transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID d'organisation de l'organisation apparaîtra dans les journaux, ce qui peut être utilisé pour vérifier que l'organisation exploite Multi-Tenant HDS. Vérifiez la valeur de |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu sur le côté gauche de l'écran. |
| 2 |
Dans la section Services Cloud, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérez votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Services Cloud, recherchez Hybrid Data Security et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification de la mise à niveau, sélectionnez l’heure et le fuseau horaire pour la planification de la mise à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au jour suivant, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et les nouveaux mots de passe fonctionnent tous deux jusqu'à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les informations d'identification d'un compte Partner Hub avec des droits d'administrateur complets.
Si vous ne disposez pas d'une licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil de configuration HDS pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop pour plus de détails.
Si l'outil de configuration HDS s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de la création du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud Hybrid Data Security (IP address/setup, par exemple, https://192.0.2.0/setup), entrez les informations d'identification d'administrateur que vous avez configurées pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsque cette option est activée, la résolution DNS externe bloquée est paramétrée sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Supprimer.) Si vous ne supprimez pas la VM, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus critique fourni par votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour crypter les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur au sein de l’organisation affecté à Hybrid Data Security, de nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une PERTE IRRÉCUPÉRABLE du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe entraîne l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS. |
| 2 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. |
| 3 |
Faites une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès uniquement aux administrateurs de sécurité des données hybrides qui doivent apporter des modifications de configuration. |
| 4 |
Dans le panneau de navigation de gauche du client VMware vSphere, cliquez avec le bouton droit sur la machine virtuelle et cliquez sur Modifier les paramètres. |
| 5 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO du magasin de données. Assurez-vous que Connecté et Connecter à la mise sous tension sont cochés afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 6 |
Allumez le nœud HDS et assurez-vous qu’il n’y a pas d’alarme pendant au moins 15 minutes. |
| 7 |
Enregistrez le nœud dans le hub Partenaire. Référez-vous à Enregistrez le premier nœud du cluster. |
| 8 |
Répétez le processus pour chaque nœud du centre de données de secours. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Mais certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont récupéré la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour apporter des modifications de configuration. Lorsque vous créez un nouvel ISO ou mettez à jour un ISO via l'outil de configuration, vous devez monter l'ISO mis à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont récupéré les modifications de configuration, vous pouvez à nouveau démonter l'ISO avec cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
| 1 |
Arrêtez l’un de vos nœuds HDS. |
| 2 |
Dans vCenter Server Appliance, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Allumez le nœud HDS et assurez-vous qu'il n'y a pas d'alarme pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS à tour de rôle. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles ou si le cluster fonctionne si lentement que les demandes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de répondre rapidement à toutes les alertes pour éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse e-mail configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées |
Configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées |
Configuration complète en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Consultez le Partner Hub pour connaître les alertes et corrigez les éléments que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 2 |
Consultez la sortie du serveur Syslog pour connaître l’activité du déploiement de Hybrid Data Security. Filtrez les mots tels que « Avertissement » et « Erreur » pour faciliter le dépannage. |
| 3 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez votre cluster Hybrid Data Security (en le supprimant dans Partner Hub ou en arrêtant tous les nœuds), perdez votre fichier ISO de configuration ou perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne peuvent plus utiliser les espaces sous leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil de configuration HDS à l'aide de Podman Desktop
Podman est un outil de gestion de conteneurs gratuit et open source qui fournit un moyen d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé à partir de https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l’outil de configuration HDS s’exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d’identification) via les variables d’environnement Docker lors de la création du conteneur Docker à l’étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous apportez des modifications de configuration, comme celles-ci :
-
Informations d'identification de la base de données
-
Mises à jour des certificats
-
Modifications de la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus de configuration de la sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite l’ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
Que faire ensuite
Déplacer le déploiement HDS à locataire unique existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub
La conversion d'un déploiement HDS à locataire unique existant d'une organisation partenaire gérée dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « locataire unique » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactiver HDS, désenregistrer les nœuds et supprimer le cluster dans Control Hub
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds sous ce cluster. |
| 5 |
Cliquez sur ... à droite et cliquez sur Désenregistrer le nœud. Répétez le processus pour tous les nœuds du cluster. |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu’à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez Multi-Tenant HDS pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Tous les prérequis mentionnés dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats sont utilisés lors du déplacement vers Multi-Tenant HDS.
| 1 |
Connectez-vous au Partner Hub. Cliquez sur Services dans le volet de gauche. Utilisez le même ISO de votre déploiement HDS précédent pour configurer les nœuds. Cela garantira que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent sont toujours accessibles dans la nouvelle configuration multi-locataire. |
| 2 |
Dans la section Services Cloud, recherchez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Dans la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Ajouter un nœud, saisissez un nom pour le cluster auquel vous souhaitez attribuer votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco » ou « New York » ou « Dallas » |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine complet (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la machine virtuelle Hybrid Data Security. Un message apparaît indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous êtes redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur Webex Cloud. Sur la page Hybrid Data Security, le nouveau cluster contenant le nœud que vous avez enregistré s'affiche sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Accédez à l’onglet Paramètres et cliquez sur Activer sur la carte Statut HDS. Le message HDS activé apparaîtra en bas de l'écran.
|
| 9 |
Dans les Ressources, cliquez sur le cluster nouvellement créé. |
| 10 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 11 |
Cliquez sur Ajouter des clients. |
| 12 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 13 |
Cliquez sur Ajouter, le client sera ajouté au cluster. |
| 14 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 15 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat du serveur de votre autorité de certification, enregistrez-le sous |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de groupe de certificats appelé
|
| 4 |
Créez le fichier . p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Revenir à Compléter les conditions préalables pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines mesures au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants depuis le cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections donnent des conseils sur la façon de configurer différentes versions de Squid pour ignorer le trafic wss: pour un bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 de SQL Server à la liste des serveurs SQL pris en charge dans Configuration requise pour le serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences relatives à l'hôte virtuel , du flux de tâches de déploiement de la sécurité des données hybrides et de l'installation de l'OVA de l'hôte HDS pour afficher la nouvelle exigence d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte d'état HDS. |
Foire aux questions
Foire aux questions
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont chiffrées avec la clé principale, qui est stockée dans l'ISO.
Q. Une seule clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont chiffrées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement impactées. Le contenu existant dans les espaces restera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que la CMK est générée pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à utiliser HDS multi-tenant ?
R. Le délai maximal pour la mise à jour du cache cloud peut être de 24 heures.
Q. Pourquoi ne vois-je pas de liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans l’Espace partenaires ?
R. Cela signifie généralement qu'il n'existe aucune organisation cliente qui réponde aux exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement impactées. Le contenu existant est accessible uniquement jusqu'à expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles chiffrées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont chiffrées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux CMK clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de transférer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser exclusivement Multi-Tenant HDS pour gérer ses clients ?
R. Non, cette fonctionnalité n'est pas prise en charge actuellement. La prise en charge de cette fonctionnalité est prévue pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à l'Espace Partenaires. Aller à Services > Sécurité des données hybrides > Paramètres . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients assignés utilisent HDS multi-locataire.
Vous pouvez également consulter vos journaux système pour vérifier que HDS est activé. Voir Testez votre déploiement de sécurité des données hybrides.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil d'installation HDS ?
R. Oui. Podman Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-locataire ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour configurer un système HDS multi-locataire ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le pack Pro n'est pas une condition requise pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide concernant la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans un environnement HDS multi-locataire ?
R. Non, actuellement, Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataire nécessite un certificat récupéré auprès d'une autorité de certification de confiance qui répond à toutes les exigences mentionnées dans Exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. Il n'est nécessaire de monter l'ISO que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Q. Une fois le système HDS multi-tenant déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation de HDS dans Partner Hub.
Commencez avec la sécurité des données hybrides multi-locataires
Aperçu de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été la priorité absolue lors de la conception de l'application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, rendu possible par les clients Webex App interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d'un chiffrement de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans l'environnement de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybride multi-locataires permet aux organisations de tirer parti de HDS par l'intermédiaire d'un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire de contrôler entièrement le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité, comme les centres de données, appartiennent au partenaire local de confiance.
Comment la sécurité des données hybride multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre les accès externes, tels que ceux des fournisseurs de services cloud.
- Des partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est proposée par le partenaire.
- Prend en charge les réunions, la messagerie et les appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer leurs clients dans le cadre d'un système de sécurité des données hybride multi-locataire.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à tirer parti de Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elle gère seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus le KMS cloud après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de transférer à nouveau les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur comportent certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients provisionnés par l'administrateur ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration et gestion HDS multi-locataires de bout en bout pour toutes les organisations clientes - Partenaire administrateur complet et droits d'administrateur complets requis.
- Gestion des organisations locataires assignées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud de Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses environnements cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent du ressort de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes appartenant à d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Toutefois, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH distinct pour obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Le déploiement d'une sécurité des données hybride exige un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams .
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparez votre environnement.
La perte totale de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de la clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide après sinistre en cas de catastrophe, telle qu'une panne de disque de base de données ou un sinistre de centre de données.
Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document décrit la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataire :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs des organisations de vos clients d'utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à jour continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans le Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d'entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et une base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par grappe. La présence de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre opération de maintenance sur un nœud. (Le cloud Webex ne met à jour qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous mettez en place un centre de données de secours sécurisé. En cas de sinistre affectant un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds actifs de sécurité des données hybrides doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours doit reproduire l'environnement de production avec des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. (Voir Centre de données de secours pour la reprise après sinistre pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système pour vous assurer que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les journaux système. |
Que faire ensuite
Après avoir configuré passiveMode dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans la configuration passiveMode et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans crochets passiveMode configurés peut faciliter un processus de basculement rapide lors d'une reprise après sinistre. Voir Reprise après sinistre à l'aide d'un centre de données de secours pour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le magasin de clés de sécurité de configuration de nœud HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN—Adresse permettant d'atteindre la machine proxy.
-
Port proxy— Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy— Selon les protocoles pris en charge par votre serveur proxy, choisissez parmi les suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors de l'exécution d'une requête. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant l'envoi d'informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences en matière de sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer une solution de sécurité des données hybride multi-locataire :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre responsable de compte et assurez-vous que la fonctionnalité multi-locataire est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients ne possédant pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification figurant dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (joker). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster doivent répondre aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous utilisez une version antérieure d'ESXi.
-
Configuration minimale requise par serveur : 4 vCPU, 8 Go de mémoire vive et 30 Go d’espace disque local.
Exigences du serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Instances de cluster de basculement Always On et Groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
-
Les nœuds HDS, l'infrastructure Active Directory et le serveur MS SQL doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom de principal de service pour les connexions Kerberos.
L'outil d'installation HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec authentification Kerberos.
exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Instructions depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients ont besoin d'accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22 à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket. (wss:) relations. Pour contourner ce problème, voir Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème survient, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation partenaire a activé la fonctionnalité HDS multi-locataire et obtenez les identifiants d'un compte disposant des droits d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour le Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Virtual Host Requirements. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données principal pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être installé dans le même centre de données sécurisé que les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, mettez en place un environnement de sauvegarde dans un centre de données différent. L'environnement de sauvegarde reproduit l'environnement de production, composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte syslog. À tout le moins, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, le défaut de maintien d'un déploiement opérationnel entraînera la PERTE IRRECTABLE de ce contenu. Les clients Webex App mettent leurs clés en cache ; une panne peut donc ne pas être immédiatement perceptible, mais deviendra évidente avec le temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds Hybrid Data Security doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permette la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation compatible (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d'une licence Docker Desktop. Voir Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Mettre en place un cluster de sécurité des données hybride
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, notamment les paramètres réseau. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console de la machine virtuelle et définissez les informations d'identification. Configurez les paramètres réseau du nœud si vous ne l'avez pas fait lors du déploiement de l'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de certificats de confiance si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybride. |
| 8 |
Créez et enregistrez davantage de nœuds Finalisez la configuration du cluster. |
| 9 |
Activer le HDS multi-locataire sur le Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à jour de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
Créer une configuration ISO pour les hôtes HDS
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d'installation nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous disposez des options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences décrites dans Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre magasin de données clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine exécutant l'outil de configuration HDS ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, c'est le seul paramètre que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à retrouver. | ||||||||||
| 17 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il est impossible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous ne possédons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page ] Sélectionnez un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois l'opération terminée, les détails du modèle s'affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si l'on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la VM. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter pour la première fois à la console de la machine virtuelle du nœud Hybrid Data Security et définir les informations d'identification. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés lors du déploiement de l'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installez l'OVA HDS Host, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le protocole DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne devrait être divulgué qu'aux personnes qui en ont besoin, pour l'accès aux machines virtuelles de sécurité des données hybrides et aux administrateurs qui pourraient avoir besoin d'y apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Consultez la section Assistance proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, suivez ces étapes, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Créer un nouveau cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Centre de partenaires. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créez et enregistrez davantage de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes décrites dans Installez l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle VM en répétant les étapes décrites dans Configurer la VM Hybrid Data Security. |
| 3 |
Sur la nouvelle VM, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Que faire ensuite
Gérer les organisations locataires sur une plateforme de sécurité des données hybride multi-locataires
Activer le HDS multi-locataire sur le hub partenaire
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte État HDS. |
Ajouter les organisations locataires dans le Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybride.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Allez dans l'onglet Clients attribués. L'onglet Clients attribués ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre groupe. |
| 9 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Avant de commencer
Attribuer les clients comme indiqué dans Ajouter les organisations locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour effectuer la gestion des CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de Gestion de la CMK en attente à CMK gérée. |
| 13 |
Si la création de la CMK échoue, une erreur sera affichée. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront plus utiliser HDS pour leurs besoins de chiffrement et perdront tous leurs espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Finalisez le processus de suppression en révoquant les CMK des organisations clientes comme indiqué dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les cartes CMK des locataires expulsés du HDS.
Avant de commencer
Supprimer les clients comme indiqué dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la révocation de la CMK effectuée avec succès, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Testez votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d'avoir accès au journal système (syslog) pour vérifier que les requêtes clés sont bien transmises à votre déploiement de sécurité des données hybride multi-locataire.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de la sécurité des données hybrides, le contenu des espaces créés par les utilisateurs ne sera plus accessible une fois que les copies des clés de chiffrement mises en cache côté client auront été remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vous assurer que les requêtes clés sont bien transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation utilise Multi-Tenant HDS. Vérifiez la valeur de |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l'écran. |
| 2 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérez votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification des mises à niveau, sélectionnez l'heure et le fuseau horaire de la planification des mises à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et nouveaux mots de passe fonctionnent tous deux pendant 10 jours maximum. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour les partenaires.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution,, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (IP) address/setup, par exemple, https://192.0.2.0/setup), entrez les identifiants d'administrateur que vous avez configurés pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsqu’elle est activée, la résolution DNS externe bloquée est définie sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus important fourni par votre cluster Hybrid Data Security est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une perte Irrécupérable du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe rend indisponible le déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système (syslog) pour vous assurer que les nœuds du centre de données de secours ne sont pas en mode passif. Le message « KMS configuré en mode passif » ne devrait pas apparaître dans les journaux système. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Cependant, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS auront pris en compte la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle image ISO ou mettez à jour une image ISO via l'outil de configuration, vous devez monter l'image ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appliance vCenter Server, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Mettez sous tension le nœud HDS et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS à son tour. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybride est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que les requêtes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de traiter rapidement toute alerte afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans le Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées. |
Effectuez la configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées. |
Finalisez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour repérer les alertes et corrigez les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez les journaux système du serveur syslog pour détecter toute activité provenant du déploiement de la sécurité des données hybrides. Filtrez les résultats pour trouver des mots comme « Avertissement » et « Erreur » afin de faciliter le dépannage. |
| 6 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en arrêtant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne pourront plus utiliser les espaces de leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil d'installation HDS à l'aide de Podman Desktop.
Podman est un outil de gestion de conteneurs gratuit et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
Que faire ensuite
Déplacez le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub.
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire géré dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « mono-locataire » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub.
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez le HDS multi-locataire pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Toutes les conditions préalables mentionnées dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats soient utilisés lors de la migration vers un système HDS multi-locataire.
| 1 |
Connectez-vous à l'Espace Partenaires. Cliquez sur Services dans le volet de gauche. Utilisez la même image ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent restent accessibles dans la nouvelle configuration multi-locataires. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Créer un cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Allez dans l'onglet Paramètres et cliquez sur Activer sur la carte État HDS. HDS activé Le message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients attribués. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de certificat appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Terminer les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une image ISO de configuration pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants en provenance du cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections fournissent des indications sur la manière de configurer différentes versions de Squid pour ignorer le trafic wss: afin d'assurer le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Informations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 de SQL Server à la liste des serveurs SQL pris en charge dans Configuration requise pour le serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences relatives à l'hôte virtuel , du flux de tâches de déploiement de la sécurité des données hybrides et de l'installation de l'OVA de l'hôte HDS pour afficher la nouvelle exigence d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Désactiver la sécurité des données hybrides multi-locataires
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte d'état HDS. |
Foire aux questions
Foire aux questions
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont chiffrées avec la clé principale, qui est stockée dans l'ISO.
Q. Une seule clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont chiffrées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement impactées. Le contenu existant dans les espaces restera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que la CMK est générée pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à utiliser HDS multi-tenant ?
R. Le délai maximal pour la mise à jour du cache cloud peut être de 24 heures.
Q. Pourquoi ne vois-je pas de liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans l’Espace partenaires ?
R. Cela signifie généralement qu'il n'existe aucune organisation cliente qui réponde aux exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement impactées. Le contenu existant est accessible uniquement jusqu'à expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles chiffrées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont chiffrées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux CMK clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de transférer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser exclusivement Multi-Tenant HDS pour gérer ses clients ?
R. Non, cette fonctionnalité n'est pas prise en charge actuellement. La prise en charge de cette fonctionnalité est prévue pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à l'Espace Partenaires. Aller à Services > Sécurité des données hybrides > Paramètres . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients assignés utilisent HDS multi-locataire.
Vous pouvez également consulter vos journaux système pour vérifier que HDS est activé. Voir Testez votre déploiement de sécurité des données hybrides.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil d'installation HDS ?
R. Oui. Podman Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-locataire ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour configurer un système HDS multi-locataire ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le pack Pro n'est pas une condition requise pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide concernant la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans un environnement HDS multi-locataire ?
R. Non, actuellement, Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataire nécessite un certificat récupéré auprès d'une autorité de certification de confiance qui répond à toutes les exigences mentionnées dans Exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. Il n'est nécessaire de monter l'ISO que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Q. Une fois le système HDS multi-tenant déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation de HDS dans Partner Hub.
Commencez avec la sécurité des données hybrides multi-locataires
Aperçu de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été la priorité absolue lors de la conception de l'application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, rendu possible par les clients Webex App interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d'un chiffrement de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans l'environnement de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybride multi-locataires permet aux organisations de tirer parti de HDS par l'intermédiaire d'un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire de contrôler entièrement le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité, comme les centres de données, appartiennent au partenaire local de confiance.
Comment la sécurité des données hybride multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre les accès externes, tels que ceux des fournisseurs de services cloud.
- Des partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est proposée par le partenaire.
- Prend en charge les réunions, la messagerie et les appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer leurs clients dans le cadre d'un système de sécurité des données hybride multi-locataire.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à tirer parti de Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elle gère seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus le KMS cloud après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de transférer à nouveau les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur comportent certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients provisionnés par l'administrateur ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration et gestion HDS multi-locataires de bout en bout pour toutes les organisations clientes - Partenaire administrateur complet et droits d'administrateur complets requis.
- Gestion des organisations locataires assignées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud de Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses environnements cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent du ressort de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes appartenant à d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Toutefois, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH distinct pour obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Le déploiement d'une sécurité des données hybride exige un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer Hybrid Data Security, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams .
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparez votre environnement.
La perte totale de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de la clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide après sinistre en cas de catastrophe, telle qu'une panne de disque de base de données ou un sinistre de centre de données.
Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document décrit la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataire :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs des organisations de vos clients d'utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à jour continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans le Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d'entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et une base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par grappe. La présence de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre opération de maintenance sur un nœud. (Le cloud Webex ne met à jour qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous mettez en place un centre de données de secours sécurisé. En cas de sinistre affectant un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds actifs de sécurité des données hybrides doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours doit reproduire l'environnement de production avec des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. (Voir Centre de données de secours pour la reprise après sinistre pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système pour vous assurer que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les journaux système. |
Que faire ensuite
Après avoir configuré passiveMode dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans la configuration passiveMode et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans crochets passiveMode configurés peut faciliter un processus de basculement rapide lors d'une reprise après sinistre. Voir Reprise après sinistre à l'aide d'un centre de données de secours pour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le magasin de clés de sécurité de configuration de nœud HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN—Adresse permettant d'atteindre la machine proxy.
-
Port proxy— Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy— Selon les protocoles pris en charge par votre serveur proxy, choisissez parmi les suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors de l'exécution d'une requête. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant l'envoi d'informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Préparer votre environnement
Exigences en matière de sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer une solution de sécurité des données hybride multi-locataire :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre responsable de compte et assurez-vous que la fonctionnalité multi-locataire est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients ne possédant pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification figurant dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (joker). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster doivent répondre aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous utilisez une version antérieure d'ESXi.
-
Configuration minimale requise par serveur : 4 vCPU, 8 Go de mémoire vive et 30 Go d’espace disque local.
Exigences du serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Instances de cluster de basculement Always On et Groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
-
Les nœuds HDS, l'infrastructure Active Directory et le serveur MS SQL doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom de principal de service pour les connexions Kerberos.
L'outil d'installation HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec authentification Kerberos.
exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Instructions depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients ont besoin d'accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22 à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket. (wss:) relations. Pour contourner ce problème, voir Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème survient, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation partenaire a activé la fonctionnalité HDS multi-locataire et obtenez les identifiants d'un compte disposant des droits d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour le Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Virtual Host Requirements. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données principal pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être installé dans le même centre de données sécurisé que les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, mettez en place un environnement de sauvegarde dans un centre de données différent. L'environnement de sauvegarde reproduit l'environnement de production, composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte syslog. À tout le moins, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, le défaut de maintien d'un déploiement opérationnel entraînera la PERTE IRRECTABLE de ce contenu. Les clients Webex App mettent leurs clés en cache ; une panne peut donc ne pas être immédiatement perceptible, mais deviendra évidente avec le temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds Hybrid Data Security doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permette la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation compatible (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d'une licence Docker Desktop. Voir Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Mettre en place un cluster de sécurité des données hybride
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, notamment les paramètres réseau. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console de la machine virtuelle et définissez les informations d'identification. Configurez les paramètres réseau du nœud si vous ne l'avez pas fait lors du déploiement de l'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de certificats de confiance si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybride. |
| 8 |
Créez et enregistrez davantage de nœuds Finalisez la configuration du cluster. |
| 9 |
Activer le HDS multi-locataire sur le Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à jour de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
Créer une configuration ISO pour les hôtes HDS
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d'installation nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous disposez des options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences décrites dans Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre magasin de données clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine exécutant l'outil de configuration HDS ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, c'est le seul paramètre que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à retrouver. | ||||||||||
| 17 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il est impossible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous ne possédons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page ] Sélectionnez un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois l'opération terminée, les détails du modèle s'affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si l'on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la VM. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter pour la première fois à la console de la machine virtuelle du nœud Hybrid Data Security et définir les informations d'identification. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés lors du déploiement de l'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installez l'OVA HDS Host, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le protocole DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne devrait être divulgué qu'aux personnes qui en ont besoin, pour l'accès aux machines virtuelles de sécurité des données hybrides et aux administrateurs qui pourraient avoir besoin d'y apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Consultez la section Assistance proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, suivez ces étapes, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Créer un nouveau cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Centre de partenaires. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créez et enregistrez davantage de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes décrites dans Installez l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle VM en répétant les étapes décrites dans Configurer la VM Hybrid Data Security. |
| 3 |
Sur la nouvelle VM, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Que faire ensuite
Gérer les organisations locataires sur une plateforme de sécurité des données hybride multi-locataires
Activer le HDS multi-locataire sur le hub partenaire
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte État HDS. |
Ajouter les organisations locataires dans le Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybride.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Allez dans l'onglet Clients attribués. L'onglet Clients attribués ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre groupe. |
| 9 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Avant de commencer
Attribuer les clients comme indiqué dans Ajouter les organisations locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour effectuer la gestion des CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de Gestion de la CMK en attente à CMK gérée. |
| 13 |
Si la création de la CMK échoue, une erreur sera affichée. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront plus utiliser HDS pour leurs besoins de chiffrement et perdront tous leurs espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Finalisez le processus de suppression en révoquant les CMK des organisations clientes comme indiqué dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les cartes CMK des locataires expulsés du HDS.
Avant de commencer
Supprimer les clients comme indiqué dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la révocation de la CMK effectuée avec succès, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Testez votre déploiement de sécurité des données hybrides
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d'avoir accès au journal système (syslog) pour vérifier que les requêtes clés sont bien transmises à votre déploiement de sécurité des données hybride multi-locataire.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de la sécurité des données hybrides, le contenu des espaces créés par les utilisateurs ne sera plus accessible une fois que les copies des clés de chiffrement mises en cache côté client auront été remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vous assurer que les requêtes clés sont bien transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation utilise Multi-Tenant HDS. Vérifiez la valeur de |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l'écran. |
| 2 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérez votre déploiement HDS
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification des mises à niveau, sélectionnez l'heure et le fuseau horaire de la planification des mises à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et nouveaux mots de passe fonctionnent tous deux pendant 10 jours maximum. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour les partenaires.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution,, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (IP) address/setup, par exemple, https://192.0.2.0/setup), entrez les identifiants d'administrateur que vous avez configurés pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsqu’elle est activée, la résolution DNS externe bloquée est définie sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus important fourni par votre cluster Hybrid Data Security est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une perte Irrécupérable du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe rend indisponible le déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que Connecté et Connexion à la mise sous tension sont cochés afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système (syslog) pour vous assurer que les nœuds du centre de données de secours ne sont pas en mode passif. Le message « KMS configuré en mode passif » ne devrait pas apparaître dans les journaux système. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Cependant, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS auront pris en compte la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle image ISO ou mettez à jour une image ISO via l'outil de configuration, vous devez monter l'image ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appliance vCenter Server, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Mettez sous tension le nœud HDS et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS. |
Dépannage de la sécurité des données hybrides
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybride est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que les requêtes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de traiter rapidement toute alerte afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans le Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées. |
Effectuez la configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées. |
Finalisez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour repérer les alertes et corrigez les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez les journaux système du serveur syslog pour détecter toute activité provenant du déploiement de la sécurité des données hybrides. Filtrez les résultats pour trouver des mots comme « Avertissement » et « Erreur » afin de faciliter le dépannage. |
| 6 |
Contacter l'Assistance Cisco. |
Autres notes
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en arrêtant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne pourront plus utiliser les espaces de leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil d'installation HDS à l'aide de Podman Desktop.
Podman est un outil de gestion de conteneurs gratuit et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
Que faire ensuite
Déplacez le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub.
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire géré dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « mono-locataire » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub.
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez le HDS multi-locataire pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Toutes les conditions préalables mentionnées dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats soient utilisés lors de la migration vers un système HDS multi-locataire.
| 1 |
Connectez-vous à l'Espace Partenaires. Cliquez sur Services dans le volet de gauche. Utilisez la même image ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent restent accessibles dans la nouvelle configuration multi-locataires. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Créer un cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Allez dans l'onglet Paramètres et cliquez sur Activer sur la carte État HDS. HDS activé Le message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients attribués. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de certificat appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Terminer les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une image ISO de configuration pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants en provenance du cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections fournissent des indications sur la manière de configurer différentes versions de Squid pour ignorer le trafic wss: afin d'assurer le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 1er juin 2026 |
|
| 16 avril 2026 |
|
| 25 mars 2026 |
|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 de SQL Server à la liste des serveurs SQL pris en charge dans Configuration requise pour le serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences relatives à l'hôte virtuel , du flux de tâches de déploiement de la sécurité des données hybrides et de l'installation de l'OVA de l'hôte HDS pour afficher la nouvelle exigence d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte d'état HDS. |
Foire aux questions
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont chiffrées avec la clé principale, qui est stockée dans l'ISO.
Q. Une seule clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont chiffrées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement impactées. Le contenu existant dans les espaces restera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que la CMK est générée pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à utiliser HDS multi-tenant ?
R. Le délai maximal pour la mise à jour du cache cloud peut être de 24 heures.
Q. Pourquoi ne vois-je pas de liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans l’Espace partenaires ?
R. Cela signifie généralement qu'il n'existe aucune organisation cliente qui réponde aux exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement impactées. Le contenu existant est accessible uniquement jusqu'à expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles chiffrées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont chiffrées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux CMK clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de transférer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser exclusivement Multi-Tenant HDS pour gérer ses clients ?
R. Non, cette fonctionnalité n'est pas prise en charge actuellement. La prise en charge de cette fonctionnalité est prévue pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à l'Espace Partenaires. Aller à Services > Sécurité des données hybrides > Paramètres . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients assignés utilisent HDS multi-locataire.
Vous pouvez également consulter vos journaux système pour vérifier que HDS est activé. Voir Testez votre déploiement de sécurité des données hybrides.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil d'installation HDS ?
R. Oui. Podman Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-locataire ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour configurer un système HDS multi-locataire ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le pack Pro n'est pas une condition requise pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide concernant la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans un environnement HDS multi-locataire ?
R. Non, actuellement, Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataire nécessite un certificat récupéré auprès d'une autorité de certification de confiance qui répond à toutes les exigences mentionnées dans Exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. Il n'est nécessaire de monter l'ISO que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Q. Une fois le système HDS multi-tenant déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation de HDS dans Partner Hub.
Aperçu de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été la priorité absolue lors de la conception de l'application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, rendu possible par les clients Webex App interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d'un chiffrement de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans l'environnement de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybride multi-locataires permet aux organisations de tirer parti de HDS par l'intermédiaire d'un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire de contrôler entièrement le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité, comme les centres de données, appartiennent au partenaire local de confiance.
Comment la sécurité des données hybride multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre les accès externes, tels que ceux des fournisseurs de services cloud.
- Des partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est proposée par le partenaire.
- Prend en charge les réunions, la messagerie et les appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer leurs clients dans le cadre d'un système de sécurité des données hybride multi-locataire.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à tirer parti de Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elle gère seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus le KMS cloud après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de transférer à nouveau les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur comportent certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients provisionnés par l'administrateur ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration et gestion HDS multi-locataires de bout en bout pour toutes les organisations clientes - Partenaire administrateur complet et droits d'administrateur complets requis.
- Gestion des organisations locataires assignées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud de Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses environnements cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent du ressort de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes appartenant à d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Toutefois, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH distinct pour obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Le déploiement d'une sécurité des données hybride exige un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams .
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparez votre environnement.
La perte totale de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de la clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide après sinistre en cas de catastrophe, telle qu'une panne de disque de base de données ou un sinistre de centre de données.
Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document décrit la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataire :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs des organisations de vos clients d'utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à jour continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans le Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d'entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et une base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par grappe. La présence de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre opération de maintenance sur un nœud. (Le cloud Webex ne met à jour qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous mettez en place un centre de données de secours sécurisé. En cas de sinistre affectant un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds actifs de sécurité des données hybrides doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours doit reproduire l'environnement de production avec des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. (Voir Centre de données de secours pour la reprise après sinistre pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système pour vous assurer que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les journaux système. |
Que faire ensuite
Après avoir configuré passiveMode dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans la configuration passiveMode et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans crochets passiveMode configurés peut faciliter un processus de basculement rapide lors d'une reprise après sinistre. Voir Reprise après sinistre à l'aide d'un centre de données de secours pour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le magasin de clés de sécurité de configuration de nœud HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN—Adresse permettant d'atteindre la machine proxy.
-
Port proxy— Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy— Selon les protocoles pris en charge par votre serveur proxy, choisissez parmi les suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors de l'exécution d'une requête. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant l'envoi d'informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Exigences en matière de sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer la sécurité des données hybride multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre responsable de compte et assurez-vous que la fonctionnalité multi-locataire est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients ne possédant pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification figurant dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (joker). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster doivent répondre aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous utilisez une version antérieure d'ESXi.
-
Configuration minimale requise par serveur : 4 vCPU, 8 Go de mémoire vive et 30 Go d’espace disque local.
Exigences du serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Instances de cluster de basculement Always On et Groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
-
Les nœuds HDS, l'infrastructure Active Directory et le serveur MS SQL doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom de principal de service pour les connexions Kerberos.
L'outil d'installation HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec authentification Kerberos.
exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Instructions depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients ont besoin d'accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22 à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket. (wss:) relations. Pour contourner ce problème, voir Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème survient, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation partenaire a activé la fonctionnalité HDS multi-locataire et obtenez les identifiants d'un compte disposant des droits d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour le Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Virtual Host Requirements. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données principal pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être installé dans le même centre de données sécurisé que les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, mettez en place un environnement de sauvegarde dans un centre de données différent. L'environnement de sauvegarde reproduit l'environnement de production, composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte syslog. À tout le moins, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, le défaut de maintien d'un déploiement opérationnel entraînera la PERTE IRRECTABLE de ce contenu. Les clients Webex App mettent leurs clés en cache ; une panne peut donc ne pas être immédiatement perceptible, mais deviendra évidente avec le temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds Hybrid Data Security doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permette la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation compatible (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d'une licence Docker Desktop. Voir Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, notamment les paramètres réseau. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console de la machine virtuelle et définissez les informations d'identification. Configurez les paramètres réseau du nœud si vous ne l'avez pas fait lors du déploiement de l'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de certificats de confiance si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybride. |
| 8 |
Créez et enregistrez davantage de nœuds Finalisez la configuration du cluster. |
| 9 |
Activer le HDS multi-locataire sur le Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, recherchez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à jour de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
Créer une configuration ISO pour les hôtes HDS
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d'installation nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous disposez des options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences décrites dans Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre magasin de données clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine exécutant l'outil de configuration HDS ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, c'est le seul paramètre que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à retrouver. | ||||||||||
| 17 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il est impossible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous ne possédons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page ] Sélectionnez un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois l'opération terminée, les détails du modèle s'affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si l'on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la VM. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter pour la première fois à la console de la machine virtuelle du nœud Hybrid Data Security et définir les informations d'identification. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés lors du déploiement de l'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installez l'OVA HDS Host, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le protocole DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne devrait être divulgué qu'aux personnes qui en ont besoin, pour l'accès aux machines virtuelles de sécurité des données hybrides et aux administrateurs qui pourraient avoir besoin d'y apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Consultez la section Assistance proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, suivez ces étapes, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Créer un nouveau cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Centre de partenaires. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créez et enregistrez davantage de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes décrites dans Installez l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle VM en répétant les étapes décrites dans Configurer la VM Hybrid Data Security. |
| 3 |
Sur la nouvelle VM, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Que faire ensuite
Activer le HDS multi-locataire sur le hub partenaire
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte État HDS. |
Ajouter des organisations locataires dans le Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybride.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Allez dans l'onglet Clients attribués. L'onglet Clients attribués ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre groupe. |
| 9 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Avant de commencer
Attribuer les clients comme indiqué dans Ajouter les organisations locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour effectuer la gestion des CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de Gestion de la CMK en attente à CMK gérée. |
| 13 |
Si la création de la CMK échoue, une erreur sera affichée. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront plus utiliser HDS pour leurs besoins de chiffrement et perdront tous leurs espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Finalisez le processus de suppression en révoquant les CMK des organisations clientes comme indiqué dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les cartes CMK des locataires expulsés du HDS.
Avant de commencer
Supprimer les clients comme indiqué dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la révocation de la CMK effectuée avec succès, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d'avoir accès au journal système (syslog) pour vérifier que les requêtes clés sont bien transmises à votre déploiement de sécurité des données hybride multi-locataire.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de la sécurité des données hybrides, le contenu des espaces créés par les utilisateurs ne sera plus accessible une fois que les copies des clés de chiffrement mises en cache côté client auront été remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vous assurer que les requêtes clés sont bien transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation utilise Multi-Tenant HDS. Vérifiez la valeur de |
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l'écran. |
| 2 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification des mises à niveau, sélectionnez l'heure et le fuseau horaire de la planification des mises à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et nouveaux mots de passe fonctionnent tous deux pendant 10 jours maximum. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour les partenaires.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution,, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (IP) address/setup, par exemple, https://192.0.2.0/setup), entrez les identifiants d'administrateur que vous avez configurés pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsqu’elle est activée, la résolution DNS externe bloquée est définie sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus important fourni par votre cluster Hybrid Data Security est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une perte Irrécupérable du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe rend le déploiement HDS dans le centre de données principal indisponible, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système (syslog) pour vous assurer que les nœuds du centre de données de secours ne sont pas en mode passif. Le message « KMS configuré en mode passif » ne devrait pas apparaître dans les journaux système. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Cependant, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS auront pris en compte la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle image ISO ou mettez à jour une image ISO via l'outil de configuration, vous devez monter l'image ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appliance vCenter Server, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Mettez sous tension le nœud HDS et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS. |
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que les requêtes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de traiter rapidement toute alerte afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans le Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées. |
Effectuez la configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées. |
Finalisez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour repérer les alertes et corrigez les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez les journaux système du serveur syslog pour détecter toute activité provenant du déploiement de la sécurité des données hybrides. Filtrez les résultats pour trouver des mots comme « Avertissement » et « Erreur » afin de faciliter le dépannage. |
| 6 |
Contacter l'Assistance Cisco. |
API de développement HDS
Les API HDS Developer permettent de récupérer des données d'analyse et de surveillance, ainsi que de dépanner vos déploiements HDS via le portail développeur Webex. Les API sont disponibles à l' https://developer.webex.com/messaging/docs/api/v1/hds.
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en arrêtant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne pourront plus utiliser les espaces de leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil d'installation HDS à l'aide de Podman Desktop.
Podman est un outil de gestion de conteneurs gratuit et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. |
Que faire ensuite
Déplacez le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub.
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire géré dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « mono-locataire » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub.
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez le HDS multi-locataire pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Toutes les conditions préalables mentionnées dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats soient utilisés lors de la migration vers un système HDS multi-locataire.
| 1 |
Connectez-vous à l'Espace Partenaires. Cliquez sur Services dans le volet de gauche. Utilisez la même image ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent restent accessibles dans la nouvelle configuration multi-locataires. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Créer un cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Allez dans l'onglet Paramètres et cliquez sur Activer sur la carte État HDS. HDS activé Le message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients attribués. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de certificat appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Terminer les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une image ISO de configuration pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants en provenance du cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections fournissent des indications sur la manière de configurer différentes versions de Squid pour ignorer le trafic wss: afin d'assurer le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 23 juin 2026 |
|
| 1er juin 2026 |
|
| 16 avril 2026 |
|
| 25 mars 2026 |
|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 de SQL Server à la liste des serveurs SQL pris en charge dans Configuration requise pour le serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences relatives à l'hôte virtuel , du flux de tâches de déploiement de la sécurité des données hybrides et de l'installation de l'OVA de l'hôte HDS pour afficher la nouvelle exigence d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte d'état HDS. |
Foire aux questions
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont chiffrées avec la clé principale, qui est stockée dans l'ISO.
Q. Une seule clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont chiffrées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement impactées. Le contenu existant dans les espaces restera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que la CMK est générée pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à utiliser HDS multi-tenant ?
R. Le délai maximal pour la mise à jour du cache cloud peut être de 24 heures.
Q. Pourquoi ne vois-je pas de liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans l’Espace partenaires ?
R. Cela signifie généralement qu'il n'existe aucune organisation cliente qui réponde aux exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement impactées. Le contenu existant est accessible uniquement jusqu'à expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles chiffrées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont chiffrées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux CMK clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de transférer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser exclusivement Multi-Tenant HDS pour gérer ses clients ?
R. Non, cette fonctionnalité n'est pas prise en charge actuellement. La prise en charge de cette fonctionnalité est prévue pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à l'Espace Partenaires. Aller à Services > Sécurité des données hybrides > Paramètres . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients assignés utilisent HDS multi-locataire.
Vous pouvez également consulter vos journaux système pour vérifier que HDS est activé. Voir Testez votre déploiement de sécurité des données hybrides.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil d'installation HDS ?
R. Oui. Podman Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-locataire ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour configurer un système HDS multi-locataire ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le pack Pro n'est pas une condition requise pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide concernant la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans un environnement HDS multi-locataire ?
R. Non, actuellement, Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataire nécessite un certificat récupéré auprès d'une autorité de certification de confiance qui répond à toutes les exigences mentionnées dans Exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. Il n'est nécessaire de monter l'ISO que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Q. Une fois le système HDS multi-tenant déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation de HDS dans Partner Hub.
Aperçu de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été la priorité absolue lors de la conception de l'application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, rendu possible par les clients Webex App interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d'un chiffrement de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans l'environnement de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybride multi-locataires permet aux organisations de tirer parti de HDS par l'intermédiaire d'un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire de contrôler entièrement le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité, comme les centres de données, appartiennent au partenaire local de confiance.
Comment la sécurité des données hybride multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre les accès externes, tels que ceux des fournisseurs de services cloud.
- Des partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est proposée par le partenaire.
- Prend en charge les réunions, la messagerie et les appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer leurs clients dans le cadre d'un système de sécurité des données hybride multi-locataire.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à tirer parti de Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elle gère seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus le KMS cloud après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de transférer à nouveau les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur comportent certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients provisionnés par l'administrateur ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration et gestion HDS multi-locataires de bout en bout pour toutes les organisations clientes - Partenaire administrateur complet et droits d'administrateur complets requis.
- Gestion des organisations locataires assignées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud de Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses environnements cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent du ressort de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes appartenant à d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Toutefois, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH distinct pour obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Le déploiement d'une sécurité des données hybride exige un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams .
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparez votre environnement.
La perte totale de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de la clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide après sinistre en cas de catastrophe, telle qu'une panne de disque de base de données ou un sinistre de centre de données.
Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document décrit la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataire :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs des organisations de vos clients d'utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à jour continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans le Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d'entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et une base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par grappe. La présence de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre opération de maintenance sur un nœud. (Le cloud Webex ne met à jour qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous mettez en place un centre de données de secours sécurisé. En cas de sinistre affectant un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds actifs de sécurité des données hybrides doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours doit reproduire l'environnement de production avec des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. (Voir Centre de données de secours pour la reprise après sinistre pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système pour vous assurer que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les journaux système. |
Que faire ensuite
Après avoir configuré passiveMode dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans la configuration passiveMode et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans crochets passiveMode configurés peut faciliter un processus de basculement rapide lors d'une reprise après sinistre. Voir Reprise après sinistre à l'aide d'un centre de données de secours pour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le magasin de clés de sécurité de configuration de nœud HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN—Adresse permettant d'atteindre la machine proxy.
-
Port proxy— Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy— Selon les protocoles pris en charge par votre serveur proxy, choisissez parmi les suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors de l'exécution d'une requête. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant l'envoi d'informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Exigences en matière de sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer la sécurité des données hybride multi-locataires :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre responsable de compte et assurez-vous que la fonctionnalité multi-locataire est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients ne possédant pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification figurant dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (joker). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster doivent répondre aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous utilisez une version antérieure d'ESXi.
-
Configuration minimale requise par serveur : 4 vCPU, 8 Go de mémoire vive et 30 Go d’espace disque local.
Exigences du serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Instances de cluster de basculement Always On et Groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
-
Les nœuds HDS, l'infrastructure Active Directory et le serveur MS SQL doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom de principal de service pour les connexions Kerberos.
L'outil d'installation HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec authentification Kerberos.
exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Instructions depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients ont besoin d'accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22 à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket. (wss:) relations. Pour contourner ce problème, voir Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème survient, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation partenaire a activé la fonctionnalité HDS multi-locataire et obtenez les identifiants d'un compte disposant des droits d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour le Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Virtual Host Requirements. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données principal pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être installé dans le même centre de données sécurisé que les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, mettez en place un environnement de sauvegarde dans un centre de données différent. L'environnement de sauvegarde reproduit l'environnement de production, composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte syslog. À tout le moins, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, le défaut de maintien d'un déploiement opérationnel entraînera la PERTE IRRECTABLE de ce contenu. Les clients Webex App mettent leurs clés en cache ; une panne peut donc ne pas être immédiatement perceptible, mais deviendra évidente avec le temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds Hybrid Data Security doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permette la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation compatible (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d'une licence Docker Desktop. Voir Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, notamment les paramètres réseau. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console de la machine virtuelle et définissez les informations d'identification. Configurez les paramètres réseau du nœud si vous ne l'avez pas fait lors du déploiement de l'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de certificats de confiance si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybride. |
| 8 |
Créez et enregistrez davantage de nœuds Finalisez la configuration du cluster. |
| 9 |
Activer le HDS multi-locataire sur le Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, recherchez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à jour de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
Créer une configuration ISO pour les hôtes HDS
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d'installation nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous disposez des options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences décrites dans Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre magasin de données clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine exécutant l'outil de configuration HDS ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, c'est le seul paramètre que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à retrouver. | ||||||||||
| 17 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il est impossible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous ne possédons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page ] Sélectionnez un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois l'opération terminée, les détails du modèle s'affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si l'on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la VM. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter pour la première fois à la console de la machine virtuelle du nœud Hybrid Data Security et définir les informations d'identification. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés lors du déploiement de l'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installez l'OVA HDS Host, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le protocole DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne devrait être divulgué qu'aux personnes qui en ont besoin, pour l'accès aux machines virtuelles de sécurité des données hybrides et aux administrateurs qui pourraient avoir besoin d'y apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Consultez la section Assistance proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, suivez ces étapes, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Créer un nouveau cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Centre de partenaires. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créez et enregistrez davantage de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes décrites dans Installez l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle VM en répétant les étapes décrites dans Configurer la VM Hybrid Data Security. |
| 3 |
Sur la nouvelle VM, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Que faire ensuite
Activer le HDS multi-locataire sur le hub partenaire
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte État HDS. |
Ajouter des organisations locataires dans le Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybride.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Allez dans l'onglet Clients attribués. L'onglet Clients attribués ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre groupe. |
| 9 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Avant de commencer
Attribuer les clients comme indiqué dans Ajouter les organisations locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour effectuer la gestion des CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de Gestion de la CMK en attente à CMK gérée. |
| 13 |
Si la création de la CMK échoue, une erreur sera affichée. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront plus utiliser HDS pour leurs besoins de chiffrement et perdront tous leurs espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Finalisez le processus de suppression en révoquant les CMK des organisations clientes comme indiqué dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les cartes CMK des locataires expulsés du HDS.
Avant de commencer
Supprimer les clients comme indiqué dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la révocation de la CMK effectuée avec succès, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d'avoir accès au journal système (syslog) pour vérifier que les requêtes clés sont bien transmises à votre déploiement de sécurité des données hybride multi-locataire.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de la sécurité des données hybrides, le contenu des espaces créés par les utilisateurs ne sera plus accessible une fois que les copies des clés de chiffrement mises en cache côté client auront été remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vous assurer que les requêtes clés sont bien transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation utilise Multi-Tenant HDS. Vérifiez la valeur de |
Interprétation des journaux HDS et compréhension des étiquettes des agents
Les journaux HDS fournissent des informations détaillées concernant les requêtes KMS. Ces journaux comprennent différents champs qui permettent d'identifier la nature de la requête et l'identité associée. La compréhension de ces domaines est essentielle pour interpréter correctement les activités et garantir la fiabilité des opérations internes.
Terminologie
Pour garantir la clarté lors de l'examen des journaux HDS, il est important de comprendre les termes suivants :
| Terme | Définition |
|---|---|
| Compte de service | Une identité de service qui permet aux services Webex d'effectuer des actions autorisées en toute sécurité. |
| Agent | Une entité de service ou une identité de compte de service utilisée pour effectuer des opérations automatisées au sein de l'environnement HDS. |
| Étiquette de l'agent | Une étiquette incluse dans les journaux HDS qui identifie la source et le type spécifiques d'une requête entrante, permettant un audit efficace du contrôle d'accès. |
| Accès délégué | Un compte de service autorisé effectuant une requête pour un utilisateur spécifique, dans les limites des autorisations de cet utilisateur. Apparaît comme une demande de délégation: agent -> userid. |
Dans ce contexte, le terme « Agent » fait spécifiquement référence aux identités de service HDS. Ces agents ne sont pas liés à ceux dotés d'intelligence artificielle et utilisés dans d'autres fonctionnalités de Webex.
Une requête est traitée uniquement lorsqu'elle provient de :
- un utilisateur authentifié de votre organisation, ou
- un compte de service qui réside dans votre organisation et est autorisé par celle- ci .
Aperçu des champs de journalisation
| Champ | Ce que cela représente |
|---|---|
| Horodatage | Date et heure de l'opération. |
| kms.data.method | L'opération KMS effectuée (par exemple, récupération). |
| kms.data.orgld | Identifiant de l'organisation. |
| kms.data.httpUserAgent | Le client ou le service qui effectue la demande. |
| WEBEX_IDENTIFIANT DE SUIVI | Identifiant de suivi unique pour la requête. |
| kms.data.uriHost / kms.data.uri | L'hôte et la ressource ciblés par la requête. |
| kms.data.userld | L'identité effectuant la requête, y compris l'étiquette de l'agent. |
| kms.response.succès | Indique si la requête a abouti. |
Types de requêtes - Guide rapide
| Étiquette dans le journal | Étiquette de l'agent | Ce que cela représente | Opérations typiques |
|---|---|---|---|
| Type d'utilisateur : AgentUtilisateur | Agent Utilisateur | Un compte de service de confiance lié à un flux de travail utilisateur et limité à votre organisation. | Creating/managing clés pour un processus utilisateur. |
| o-agent <id> -> ID de l'utilisateur <id> | Agent d'organisation | Un compte de service de confiance au niveau de l'organisation utilisant un accès délégué. | Extraction des données Webex et intégrations de calendrier par le responsable de la conformité. |
| c-agent <id> -> ID de l'utilisateur <id> | Agent cloud | Un service Webex exécutant une requête déléguée pour un utilisateur spécifique. | Analyse antivirus, aperçu du contenu, transcriptions. |
| agent c <id> | Agent cloud | Un service Webex exécutant une requête déléguée. | ECDHE / clés de session. |
| UUID de l'utilisateur final | - | L'utilisateur final authentifié interagissant avec HDS. | Un utilisateur récupère sa propre clé. |
Types de requêtes - En détail
Les étiquettes d'agent catégorisent la source de la requête et aident à déterminer les contrôles d'accès appropriés. Les exemples suivants illustrent différents types de requêtes et les étiquettes d'agent qui leur sont associées.
-
Agent utilisateur (userAgent):
Il s'agit de comptes de service Webex de confiance, associés à des flux de travail utilisateur spécifiques et limités à l'organisation cliente. Elles sont généralement utilisées lorsqu'un service crée et gère des clés pour le compte d'un flux de travail utilisateur.
Exemple de journal :
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent utilisateur (
userAgent) effectuant des opérations de collecte de ressources pour un service Webex. -
Agent d'organisation (o-agent):
Ces comptes de service Webex de confiance sont autorisés à effectuer des opérations déléguées au nom des utilisateurs au sein de HDS. Ces comptes, adaptés à l'organisation cliente, exécutent des opérations au niveau de l'organisation. Cette fonctionnalité prend en charge plusieurs fonctions, telles que la possibilité pour les responsables de la conformité de rechercher et d'extraire les données de communication Webex, garantissant ainsi l'alignement de l'organisation avec les normes réglementaires, de sécurité et de confidentialité des données.
Exemple de journal :
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent d'organisation (
o-agent 9[~]c) récupérant une clé au nom de l'utilisateur (4[~]b) pour un service Webex. - Agent Cloud (c-agent):
Ces comptes de service Webex de confiance sont autorisés à effectuer des opérations sur HDS via un accès délégué au nom d'un utilisateur. Ils prennent en charge des fonctionnalités essentielles, telles que l'enregistrement des réunions, les transcriptions, l'analyse anti-malware et la prévisualisation des fichiers, qui améliorent l'expérience utilisateur globale.
Bien que les agents cloud puissent être désactivés en modifiant l'ISO, les clients doivent savoir que cela entraînera une perte de fonctionnalités, telles que les transcriptions des enregistrements post-réunion ou l'analyse anti-malware automatisée.
Exemple de journal :
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent cloud (
c-agent b[~]c) récupérant une clé de contenu au nom de l'utilisateur (9[~]c). -
Interaction directe avec l'utilisateur final:
Un utilisateur authentifié interagissant directement avec HDS.
Exemple de journal :
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true Indicateur clé: L'exemple de journal montre un utilisateur final (
c[~]f) récupérant une clé et interagissant directement avec HDS.
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l'écran. |
| 2 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification des mises à niveau, sélectionnez l'heure et le fuseau horaire de la planification des mises à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et nouveaux mots de passe fonctionnent tous deux pendant 10 jours maximum. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour les partenaires.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution,, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (IP) address/setup, par exemple, https://192.0.2.0/setup), entrez les identifiants d'administrateur que vous avez configurés pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsqu’elle est activée, la résolution DNS externe bloquée est définie sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus important fourni par votre cluster Hybrid Data Security est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une perte Irrécupérable du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe rend indisponible le déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que Connecté et Connexion à la mise sous tension sont cochés afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système (syslog) pour vous assurer que les nœuds du centre de données de secours ne sont pas en mode passif. Le message « KMS configuré en mode passif » ne devrait pas apparaître dans les journaux système. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Cependant, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS auront pris en compte la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle image ISO ou mettez à jour une image ISO via l'outil de configuration, vous devez monter l'image ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appliance vCenter Server, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Mettez sous tension le nœud HDS et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS à son tour. |
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybride est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que les requêtes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de traiter rapidement toute alerte afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans le Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées. |
Effectuez la configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées. |
Finalisez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour repérer les alertes et corrigez les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez les journaux système du serveur syslog pour détecter toute activité provenant du déploiement de la sécurité des données hybrides. Filtrez les résultats pour trouver des mots comme « Avertissement » et « Erreur » afin de faciliter le dépannage. |
| 6 |
Contacter l'Assistance Cisco. |
API de développement HDS
Les API HDS Developer permettent de récupérer des données d'analyse et de surveillance, ainsi que de dépanner vos déploiements HDS via le portail développeur Webex. Les API sont disponibles à l' https://developer.webex.com/messaging/docs/api/v1/hds.
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en arrêtant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne pourront plus utiliser les espaces de leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil d'installation HDS à l'aide de Podman Desktop.
Podman est un outil de gestion de conteneurs gratuit et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. |
Que faire ensuite
Déplacez le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub.
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire géré dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « mono-locataire » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub.
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez le HDS multi-locataire pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Toutes les conditions préalables mentionnées dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats soient utilisés lors de la migration vers un système HDS multi-locataire.
| 1 |
Connectez-vous à l'Espace Partenaires. Cliquez sur Services dans le volet de gauche. Utilisez la même image ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent restent accessibles dans la nouvelle configuration multi-locataires. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Créer un cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Allez dans l'onglet Paramètres et cliquez sur Activer sur la carte État HDS. HDS activé Le message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients attribués. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de certificat appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Terminer les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une image ISO de configuration pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants en provenance du cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections fournissent des indications sur la manière de configurer différentes versions de Squid pour ignorer le trafic wss: afin d'assurer le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allInformations nouvelles et modifiées
Ce tableau couvre les nouvelles fonctionnalités, les modifications apportées au contenu existant et les erreurs majeures qui ont été corrigées dans le Guide de déploiement pour la sécurité des données hybrides multi-locataires.
|
Date |
Modifications apportées |
|---|---|
| 2 juillet 2026 |
|
| 23 juin 2026 |
|
| 1er juin 2026 |
|
| 16 avril 2026 |
|
| 25 mars 2026 |
|
|
5 décembre 2025 |
|
|
21 novembre 2025 |
|
|
8 mai 2025 |
|
| 4 mars 2025 |
|
|
30 janvier 2025 |
Ajout de la version 2022 de SQL Server à la liste des serveurs SQL pris en charge dans Configuration requise pour le serveur de base de données. |
|
15 janvier 2025 |
Ajout de Limitations de la sécurité des données hybrides multi-locataires. |
|
8 janvier 2025 |
Ajout d'une note dans Effectuer la configuration initiale et télécharger les fichiers d'installation indiquant que cliquer sur Configurer sur la carte HDS dans Partner Hub est une étape importante du processus d'installation. |
|
7 janvier 2025 |
Mise à jour des exigences relatives à l'hôte virtuel , du flux de tâches de déploiement de la sécurité des données hybrides et de l'installation de l'OVA de l'hôte HDS pour afficher la nouvelle exigence d'ESXi 7.0. |
|
13 décembre 2024 |
Première publication. |
Flux de tâches de désactivation HDS multi-locataires
Suivez ces étapes pour désactiver complètement Multi-Tenant HDS.
Avant de commencer
| 1 |
Supprimez tous les clients de tous vos clusters, comme indiqué dans Supprimer les organisations locataires. |
| 2 |
Révoquer les CMK de tous les clients, comme mentionné dans Révoquer les CMK des locataires retirés de HDS.. |
| 3 |
Supprimez tous les nœuds de tous vos clusters, comme indiqué dans Supprimer un nœud. |
| 4 |
Supprimez tous vos clusters de Partner Hub en utilisant l'une des deux méthodes suivantes.
|
| 5 |
Cliquez sur l'onglet Paramètres de la page d'aperçu de la sécurité des données hybrides et cliquez sur Désactiver HDS sur la carte d'état HDS. |
Foire aux questions
Q. Les CMK et la clé principale sont-elles stockées dans l'ISO ou dans la base de données ?
R. Les clés principales du client (CMK) sont stockées dans la base de données et sont chiffrées avec la clé principale, qui est stockée dans l'ISO.
Q. Une seule clé est-elle utilisée pour chiffrer toutes les données des organisations clientes ?
R. Non. Les données de chaque organisation cliente sont chiffrées avec sa propre CMK (Customer Main Key).
Q. Que se passera-t-il si je désactive HDS depuis Partner Hub ?
R. Certaines opérations, comme la création d'un espace et la planification de réunions, seront immédiatement impactées. Le contenu existant dans les espaces restera accessible jusqu'à l'expiration du cache local. Au bout de 24 heures, les utilisateurs gérés par le partenaire passeront à Cloud KMS, et des problèmes peuvent survenir avec les espaces précédemment créés et les espaces individuels.
Q. Une fois que la CMK est générée pour une organisation cliente via l'outil de configuration HDS, les utilisateurs de l'organisation cliente commencent-ils immédiatement à utiliser HDS multi-tenant ?
R. Le délai maximal pour la mise à jour du cache cloud peut être de 24 heures.
Q. Pourquoi ne vois-je pas de liste de clients lorsque je clique sur le bouton « Ajouter des clients » dans l’Espace partenaires ?
R. Cela signifie généralement qu'il n'existe aucune organisation cliente qui réponde aux exigences de licence Cisco Webex.
Q. Quel est l'impact si tous les nœuds HDS sont arrêtés ou si un problème de réseau affecte tous les nœuds HDS ?
R. Les opérations telles que la création d'espaces et la planification de réunions sont immédiatement impactées. Le contenu existant est accessible uniquement jusqu'à expiration du cache local.
Q. Les données utilisateur de l'organisation partenaire sont-elles chiffrées avec la clé principale générée lors de la création de l'ISO ?
R. Oui. Actuellement, les données utilisateur de l'organisation partenaire sont chiffrées à l'aide de la clé principale. À l'avenir, les organisations partenaires disposeront de clés spécifiques, similaires aux CMK clients.
Q. L'organisation partenaire et les organisations locataires peuvent-elles se trouver dans des régions différentes (par exemple, les États-Unis et l'UE) ?
R. Oui. Les organisations partenaires et locataires peuvent être situées dans différentes régions géographiques.
Q. Existe-t-il un mécanisme permettant de transférer les clés vers Cloud KMS ?
R. Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Q. Un partenaire peut-il continuer à utiliser Cloud KMS et utiliser exclusivement Multi-Tenant HDS pour gérer ses clients ?
R. Non, cette fonctionnalité n'est pas prise en charge actuellement. La prise en charge de cette fonctionnalité est prévue pour l'avenir.
Q. Comment un partenaire peut-il vérifier que son organisation utilise Multi-Tenant HDS pour le chiffrement ?
R. Connectez-vous à l'Espace Partenaires. Aller à Services > Sécurité des données hybrides > Paramètres . Si le statut HDS est activé, les utilisateurs de l'organisation partenaire ainsi que les clients assignés utilisent HDS multi-locataire.
Vous pouvez également consulter vos journaux système pour vérifier que HDS est activé. Voir Testez votre déploiement de sécurité des données hybrides.
Q. Existe-t-il une alternative à Docker Desktop pour exécuter l'outil d'installation HDS ?
R. Oui. Podman Desktop est une alternative open source à Docker Desktop. Voir Exécuter l'outil de configuration HDS à l'aide de Podman Desktop.
Q. Combien de nœuds puis-je déployer dans un cluster HDS multi-locataire ?
R. Nous recommandons un minimum de deux nœuds et un maximum de 1000.
Q. Quelles sont les exigences réseau nécessaires pour configurer un système HDS multi-locataire ?
R. Voir Exigences de connectivité externe.
Q. Le pack Pro pour Control Hub est-il une exigence pour les organisations partenaires ?
R. Non. Le pack Pro n'est pas une condition requise pour les organisations partenaires. Contactez votre partenaire Cisco ou votre responsable de compte pour obtenir de l'aide concernant la configuration de Multi-Tenant HDS.
Q. Le HSM est-il pris en charge dans un environnement HDS multi-locataire ?
R. Non, actuellement, Multi-Tenant HDS ne prend pas en charge HSM.
Q. Puis-je tester Multi-Tenant HDS avec un certificat auto-signé ?
R. Non. Le HDS multi-locataire nécessite un certificat récupéré auprès d'une autorité de certification de confiance qui répond à toutes les exigences mentionnées dans Exigences relatives aux certificats X.509.
Q. Est-il nécessaire de monter l'ISO à chaque fois qu'un nouveau client est ajouté dans Partner Hub ?
R. Non. Il n'est nécessaire de monter l'ISO que lors de la modification des configurations ISO. Lors de l'ajout d'un nouveau client sur Partner Hub, assurez-vous de pouvoir créer des CMK à l'aide de l'outil de configuration HDS. Voir Créer des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Q. Une fois le système HDS multi-tenant déployé sur Partner Hub, les utilisateurs de l'organisation partenaire commencent-ils à utiliser le KMS sur site pour la gestion des clés ?
R. Les utilisateurs commenceront à utiliser le KMS sur site pour la gestion des clés uniquement après l'activation de HDS dans Partner Hub.
Aperçu de la sécurité des données hybrides multi-locataires
Dès le premier jour, la sécurité des données a été la priorité absolue lors de la conception de l'application Webex. La pierre angulaire de cette sécurité est le chiffrement de contenu de bout en bout, rendu possible par les clients Webex App interagissant avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de Webex App bénéficient d'un chiffrement de bout en bout avec des clés dynamiques stockées dans le KMS cloud, dans l'environnement de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
La sécurité des données hybride multi-locataires permet aux organisations de tirer parti de HDS par l'intermédiaire d'un partenaire local de confiance, qui peut agir en tant que fournisseur de services et gérer le chiffrement sur site et d'autres services de sécurité. Cette configuration permet à l'organisation partenaire de contrôler entièrement le déploiement et la gestion des clés de chiffrement et garantit que les données des utilisateurs des organisations clientes sont protégées contre tout accès externe. Les organisations partenaires mettent en place des instances HDS et créent des clusters HDS selon les besoins. Chaque instance peut prendre en charge plusieurs organisations clientes, contrairement à un déploiement HDS classique qui est limité à une seule organisation.
Cela permet également aux petites organisations de tirer parti de HDS, puisque le service de gestion des clés et l'infrastructure de sécurité, comme les centres de données, appartiennent au partenaire local de confiance.
Comment la sécurité des données hybride multi-locataires assure la souveraineté et le contrôle des données
- Le contenu généré par les utilisateurs est protégé contre les accès externes, tels que ceux des fournisseurs de services cloud.
- Des partenaires locaux de confiance gèrent les clés de chiffrement des clients avec lesquels ils entretiennent déjà une relation établie.
- Possibilité d'assistance technique locale, si elle est proposée par le partenaire.
- Prend en charge les réunions, la messagerie et les appels.
Ce document vise à aider les organisations partenaires à mettre en place et à gérer leurs clients dans le cadre d'un système de sécurité des données hybride multi-locataire.
Limites de la sécurité des données hybrides multi-locataires
- Les organisations partenaires ne doivent avoir aucun déploiement HDS actif dans Control Hub.
- Les organisations locataires ou clientes qui souhaitent être gérées par un partenaire ne doivent pas avoir de déploiement HDS existant dans Control Hub.
- Une fois que Multi-Tenant HDS est déployé par le partenaire, tous les utilisateurs des organisations clientes ainsi que les utilisateurs de l'organisation partenaire commencent à tirer parti de Multi-Tenant HDS pour leurs services de chiffrement.
L'organisation partenaire et les organisations clientes qu'elle gère seront sur le même déploiement HDS multi-locataire.
L'organisation partenaire n'utilisera plus le KMS cloud après le déploiement de Multi-Tenant HDS.
- Il n'existe aucun mécanisme permettant de transférer à nouveau les clés vers Cloud KMS après un déploiement HDS.
- Les rôles d'administrateur comportent certaines limitations ; consultez la section ci-dessous pour plus de détails.
Rôles dans la sécurité des données hybrides multi-locataires
- Administrateur partenaire complet - Peut gérer les paramètres de tous les clients gérés par le partenaire. Il est également possible d’attribuer des rôles d’administrateur à des utilisateurs existants dans l’organisation et d’affecter des clients spécifiques qui seront gérés par des administrateurs partenaires.
- Administrateur partenaire - Peut gérer les paramètres des clients provisionnés par l'administrateur ou qui ont été attribués à l'utilisateur.
- Administrateur complet - Administrateur de l'organisation partenaire autorisé à effectuer des tâches telles que la modification des paramètres de l'organisation, la gestion des licences et l'attribution des rôles.
- Configuration et gestion HDS multi-locataires de bout en bout pour toutes les organisations clientes - Partenaire administrateur complet et droits d'administrateur complets requis.
- Gestion des organisations locataires assignées - Droits d'administrateur partenaire et d'administrateur complet requis.
Architecture du domaine de sécurité
L'architecture cloud de Webex sépare les différents types de services en domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d'abord ce cas de cloud pur, où Cisco fournit toutes les fonctions dans ses environnements cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que l'adresse électronique, est séparé logiquement et physiquement du domaine de sécurité B. Les deux sont séparés du domaine dans lequel le contenu crypté est stocké, dans le centre de données C.
Dans ce schéma, le client est l'application Webex exécutée sur l'ordinateur portable d'un utilisateur et qui s'est authentifiée auprès du service d'identité. Lorsque l'utilisateur compose un message à envoyer à un espace, les étapes suivantes se produisent :
-
le client établit une connexion sécurisée avec le service de gestion de clés (KMS), puis demande une clé pour crypter le message. la connexion sécurisée utilise ECDH et le KMS crypte la clé à l'aide d'une clé principale AES-256.
-
le message est chiffré avant de quitter le client. le client l'envoie au service d'indexation, qui crée des index de recherche cryptés pour faciliter les recherches futures du contenu.
-
le message chiffré est envoyé au service de conformité pour les vérifications de conformité.
-
le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez Hybrid Data Security, vous déplacez les fonctions du domaine de la sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris l'identité et le stockage de contenu) restent du ressort de Cisco.
Collaborer avec d'autres organisations
Les utilisateurs de votre organisation peuvent utiliser régulièrement l'application Webex pour collaborer avec des participants externes appartenant à d'autres organisations. Lorsque l'un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l'un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Toutefois, lorsqu'une autre organisation possède la clé de l'espace, votre KMS achemine la requête vers le cloud Webex via un canal ECDH distinct pour obtenir la clé auprès du KMS approprié, puis renvoie la clé à votre utilisateur sur le canal d'origine.
Le service KMS exécuté sur l'organisation A valide les connexions aux KMS d'autres organisations à l'aide de certificats PKI x.509. Consultez Préparez votre environnement pour plus de détails sur la génération d'un certificat x.509 à utiliser avec votre déploiement de sécurité des données hybride multi-locataire.
Attentes pour déployer la sécurité des données hybrides
Le déploiement d'une sécurité des données hybride exige un engagement important et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
-
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les plans Cisco Webex Teams .
-
L’équipement, les logiciels et l’accès au réseau décrits dans Préparez votre environnement.
La perte totale de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de la clé empêche les utilisateurs de déchiffrer le contenu de l'espace et d'autres données chiffrées dans l'application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d'accès aux données, vous devez :
-
gérer la sauvegarde et la récupération de la base de données et la configuration ISO.
-
Soyez prêt à effectuer une reprise rapide après sinistre en cas de catastrophe, telle qu'une panne de disque de base de données ou un sinistre de centre de données.
Il n'existe aucun mécanisme permettant de transférer les clés vers le Cloud après un déploiement HDS.
Processus de configuration de haut niveau
Ce document décrit la configuration et la gestion d'un déploiement de sécurité des données hybride multi-locataire :
-
Configurer la sécurité des données hybrides— Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel Hybrid Data Security, la création d'un cluster HDS, l'ajout d'organisations locataires au cluster et la gestion de leurs clés principales client (CMK). Cela permettra à tous les utilisateurs des organisations de vos clients d'utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d'activation et de gestion sont traitées en détail dans les trois chapitres suivants.
-
Maintenez votre déploiement de sécurité des données hybrides— Le cloud Webex fournit automatiquement des mises à jour continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et engager l'assistance Cisco si nécessaire. Vous pouvez utiliser les notifications à l'écran et configurer des alertes par e-mail dans le Partner Hub.
-
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus— Si vous rencontrez des difficultés lors du déploiement ou de l'utilisation de Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et à résoudre le problème.
Guide de déploiement de sécurité des données hybrides
Au sein de votre centre de données d'entreprise, vous déployez Hybrid Data Security sous la forme d'un cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Au cours du processus d'installation, nous vous fournissons le fichier OVA pour configurer le dispositif virtuel sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster Hybrid Data Security utilise votre serveur Syslogd fourni et une base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous recommandons au moins trois par grappe. La présence de plusieurs nœuds garantit que le service n'est pas interrompu lors d'une mise à niveau logicielle ou d'une autre opération de maintenance sur un nœud. (Le cloud Webex ne met à jour qu'un seul nœud à la fois.)
Tous les nœuds d'un cluster accèdent au même magasin de données de clés et enregistrent l'activité sur le même serveur Syslog. Les nœuds eux-mêmes sont sans état et gèrent les requêtes de clés de manière circulaire, comme indiqué par le Cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans Partner Hub. Pour mettre un nœud hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Centre de données de secours pour la reprise après sinistre
Lors du déploiement, vous mettez en place un centre de données de secours sécurisé. En cas de sinistre affectant un centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et de secours sont synchronisées, ce qui minimisera le temps nécessaire pour effectuer le basculement.
Les nœuds actifs de sécurité des données hybrides doivent toujours se trouver dans le même centre de données que le serveur de base de données actif.
Mettre en place un centre de données de secours pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données de secours :
Avant de commencer
-
Le centre de données de secours doit reproduire l'environnement de production avec des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. (Voir Centre de données de secours pour la reprise après sinistre pour un aperçu de ce modèle de basculement.)
-
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds actifs et passifs du cluster.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré auprès de l'organisation et connecté au cloud, mais ne traitera aucun trafic.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système pour vous assurer que les nœuds sont en mode passif. Vous devriez pouvoir voir le message « KMS configuré en mode passif » dans les journaux système. |
Que faire ensuite
Après avoir configuré passiveMode dans le fichier ISO et l'avoir enregistré, vous pouvez créer une autre copie du fichier ISO sans la configuration passiveMode et l'enregistrer dans un emplacement sécurisé. Cette copie du fichier ISO sans crochets passiveMode configurés peut faciliter un processus de basculement rapide lors d'une reprise après sinistre. Voir Reprise après sinistre à l'aide d'un centre de données de secours pour la procédure de basculement détaillée.
Prise en charge du proxy
La sécurité des données hybrides prend en charge l’inspection explicite, transparente et les proxys sans inspection. Vous pouvez lier ces proxies à votre déploiement pour que vous puissiez sécuriser et surveiller le trafic de l’entreprise vers le Cloud. Vous pouvez utiliser une interface d’administration de plateforme sur les nœuds pour gestion des certificats et vérifier le statut de connectivité générale après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
-
Aucun proxy— Valeur par défaut si vous n'utilisez pas le magasin de clés de sécurité de configuration de nœud HDS & Configuration du proxy pour intégrer un proxy. Aucune mise à jour du certificat n’est requise.
-
Proxy transparent non inspectant— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne devraient pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n’est requise.
-
Tunneling transparent ou proxy d'inspection— Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucune modification de configuration HTTP ou HTTPs n’est nécessaire sur les nœuds. Cependant, les nœuds nécessitent un certificat racine pour qu’ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par elle pour appliquer les politiques sur lesquelles les sites Web peuvent être visités et quels types de contenu ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPs).
-
Proxy explicite— Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et quel schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
-
Proxy IP/FQDN—Adresse permettant d'atteindre la machine proxy.
-
Port proxy— Un numéro de port que le proxy utilise pour écouter le trafic proxy.
-
Protocole proxy— Selon les protocoles pris en charge par votre serveur proxy, choisissez parmi les suivants :
-
HTTP — affiche et contrôle toutes les demandes envoyées par le client.
-
HTTPs — fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
-
-
Type d'authentification— Choisissez parmi les types d'authentification suivants :
-
Aucun— Aucune authentification supplémentaire n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
-
Basique— Utilisé pour qu'un agent utilisateur HTTP fournisse un nom d'utilisateur et un mot de passe lors de l'exécution d'une requête. Utilise le codage Base64.
Disponible si vous sélectionnez HTTP ou HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
Digest— Utilisé pour confirmer le compte avant l'envoi d'informations sensibles. Applique une fonction de hachage sur le nom d’utilisateur et le mot de passe avant l’envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPs comme protocole proxy.
Nécessite que vous entriez le nom d’utilisateur et le mot de passe sur chaque nœud.
-
-
Exemple de nœuds de sécurité des données hybrides et proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy inspection transparente et de l’inspection HTTPs explicites, la même certificat racine doit être installée sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Dans les déploiements avec des configurations proxy explicites qui n’autorisent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloqué. Dans ce mode, l’inscription du nœud et autres tests de connectivité du proxy peuvent se poursuivre.
Exigences en matière de sécurité des données hybrides multi-locataires
Exigences de licence Cisco Webex
Pour déployer une solution de sécurité des données hybride multi-locataire :
-
Organisations partenaires : Contactez votre partenaire Cisco ou votre responsable de compte et assurez-vous que la fonctionnalité multi-locataire est activée.
-
Organisations de locataires : Vous devez disposer du pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut exiger un abonnement payant pour le Bureau Docker. Pour des détails, voir le blog Docker, « Docker met à jour et agrandit nos abonnements au produit ».
Les clients ne possédant pas de licence Docker Desktop peuvent utiliser un outil de gestion de conteneurs open source comme Podman Desktop pour exécuter, gérer et créer des conteneurs. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
|
Signé par une autorité de certification (CA) de confiance |
Détails |
|---|---|
|
Par défaut, nous faisons confiance aux autorités de certification figurant dans la liste Mozilla (à l'exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
|
Le NC n'a pas besoin d'être joignable ou un hôte actif. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le CN ne doit pas contenir de * (joker). Le CN est utilisé pour vérifier les nœuds de sécurité des données hybrides auprès des clients de l'application Webex. Tous les nœuds Hybrid Data Security de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine NC et non un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine NC. |
|
Le logiciel KMS ne prend pas en charge les signatures SHA1 pour la validation des connexions aux KMS d'autres organisations. |
|
Vous pouvez utiliser un convertisseur tel que OpenSSL pour modifier le format de votre certificat. Vous devez saisir le mot de passe lorsque vous exécutez l'outil de configuration HDS. |
Le logiciel KMS n'applique pas les contraintes d'utilisation des clés ou d'utilisation des clés étendues. Certaines autorités de certification exigent que des contraintes d'utilisation de clé étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences relatives à l'hôte virtuel
Les hôtes virtuels que vous configurerez en tant que nœuds Hybrid Data Security dans votre cluster doivent répondre aux exigences suivantes :
-
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
-
VMware ESXi 7.0 ou 8.0 installé et en cours d'exécution.
Vous devez effectuer une mise à niveau si vous utilisez une version antérieure d'ESXi.
-
Configuration minimale requise par serveur : 4 vCPU, 8 Go de mémoire vive et 30 Go d’espace disque local.
Exigences du serveur de base de données
Créez une nouvelle base de données pour le stockage des clés. N'utilisez pas la base de données par défaut. Les applications HDS, lorsqu'elles sont installées, créent le schéma de la base de données.
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
|
|
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Minimum 8 vCPUs, mémoire principale de 16 Go, espace disque suffisant et contrôle pour s'assurer qu'il n'y a aucun dépassement (2 To recommandés si vous voulez exécuter la base de données pendant longtemps sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
|
PostgreSQL |
Serveur Microsoft SQL |
|---|---|
|
Pilote JDBC Postgres 42.2.5 |
Pilote JDBC SQL Server 4.6 Cette version du pilote prend en charge SQL Server Always On ( Instances de cluster de basculement Always On et Groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows auprès de Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données de clés sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
-
Les nœuds HDS, l'infrastructure Active Directory et le serveur MS SQL doivent tous être synchronisés avec NTP.
-
Le compte Windows que vous fournissez aux nœuds HDS doit avoir read/write accès à la base de données.
-
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être capables de résoudre votre centre de distribution de clés (KDC).
-
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL Server en tant que nom principal de service (SPN) sur votre Active Directory. Voir Enregistrer un nom de principal de service pour les connexions Kerberos.
L'outil d'installation HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du magasin de clés. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec authentification Kerberos.
exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
|
Application |
Protocole |
Port |
Instructions depuis l'application |
Destination |
|---|---|---|---|---|
|
Nœuds de sécurité des données hybrides |
TCP |
443 |
Sortie HTTPS et WSS |
|
|
Outil de configuration HDS |
TCP |
443 |
HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d'accès réseau (NAT) ou derrière un pare-feu, à condition que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations de domaine du tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Au sein de votre centre de données, les clients ont besoin d'accéder aux nœuds Hybrid Data Security sur les ports TCP 443 et 22 à des fins administratives.
Les URL des hôtes Common Identity (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
|
Région |
URL d'hôte d'identité commune |
|---|---|
|
Amériques |
|
|
Union européenne |
|
|
Canada |
|
| Singapour |
|
| Emirats arabes unis |
|
Configuration requise du serveur proxy
-
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s’intégrer à vos nœuds de sécurité des données hybrides.
-
Proxy transparent — Appliance Cisco Web Security (WSA).
-
Proxy explicite — squid.
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de connexions WebSocket. (wss:) relations. Pour contourner ce problème, voir Configurer les proxys Squid pour la sécurité des données hybrides.
-
-
Nous prenons en charge les combinaisons de types d’authentification suivantes pour les proxys explicites :
-
Aucune authentification avec HTTP ou HTTPs
-
Authentification de base avec HTTP ou HTTPs
-
Authentification Digest avec HTTPs uniquement
-
-
Pour un proxy d’inspection transparent ou un proxy HTTPs explicite, vous devez avoir une copie de l’certificat racine du proxy. Les instructions de déploiement contenues dans ce guide vous indiquent comment télécharger la copie dans les banques de confiance des nœuds de sécurité des données hybrides.
-
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à acheminer via le proxy.
-
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions Web Socket. Si ce problème survient, le contournement (sans inspection) du trafic vers
wbx2.cometciscospark.comrésoudra le problème.
Remplissez les conditions préalables pour la sécurité des données hybrides
| 1 |
Assurez-vous que votre organisation partenaire a activé la fonctionnalité HDS multi-locataire et obtenez les identifiants d'un compte disposant des droits d'administrateur complets du partenaire. Assurez-vous que votre organisation cliente Webex est activée pour le Pro Pack pour Cisco Webex Control Hub. Contactez votre partenaire Cisco ou le gestionnaire de votre compte pour obtenir de l'aide. Les organisations clientes ne doivent pas avoir de déploiement HDS existant. |
| 2 |
Choisissez un nom de domaine pour votre déploiement HDS (par exemple, |
| 3 |
Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de Virtual Host Requirements. |
| 4 |
Préparez le serveur de base de données qui servira de magasin de données principal pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être installé dans le même centre de données sécurisé que les hôtes virtuels. |
| 5 |
Pour une reprise rapide après sinistre, mettez en place un environnement de sauvegarde dans un centre de données différent. L'environnement de sauvegarde reproduit l'environnement de production, composé de machines virtuelles et d'un serveur de base de données de sauvegarde. Par exemple, si la production dispose de 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit comporter 3 machines virtuelles. |
| 6 |
Configurez un hôte syslog pour collecter des journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (par défaut, UDP 514). |
| 7 |
Créez une politique de sauvegarde sécurisée pour les nœuds Hybrid Data Security, le serveur de base de données et l'hôte syslog. À tout le moins, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds Hybrid Data Security. Étant donné que les nœuds Hybrid Data Security stockent les clés utilisées pour le chiffrement et le déchiffrement du contenu, le défaut de maintien d'un déploiement opérationnel entraînera la PERTE IRRECTABLE de ce contenu. Les clients Webex App mettent leurs clés en cache ; une panne peut donc ne pas être immédiatement perceptible, mais deviendra évidente avec le temps. Bien que les interruptions temporaires soient impossibles à empêcher, elles sont récupérables. Cependant, une perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds Hybrid Data Security doivent effectuer des sauvegardes fréquentes de la base de données et du fichier ISO de configuration, et être prêts à reconstruire le centre de données Hybrid Data Security en cas de panne catastrophique. |
| 8 |
Assurez-vous que la configuration de votre pare-feu permette la connectivité pour vos nœuds de sécurité des données hybrides comme indiqué dans Exigences de connectivité externe. |
| 9 |
Installez Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation compatible (Microsoft Windows 10 Professionnel ou Entreprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou supérieur) avec un navigateur Web pouvant y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil de configuration HDS, qui génère les informations de configuration locales pour tous les nœuds Hybrid Data Security. Vous pourriez avoir besoin d'une licence Docker Desktop. Voir Configuration requise pour Docker Desktop pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. |
| 10 |
Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. |
Flux de tâches de déploiement de la sécurité des données hybrides
| 1 |
Effectuez la configuration initiale et téléchargez les fichiers d'installation Téléchargez le fichier OVA sur votre ordinateur pour une utilisation ultérieure. |
| 2 |
Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds Hybrid Data Security. |
| 3 |
Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, notamment les paramètres réseau. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 4 |
Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console de la machine virtuelle et définissez les informations d'identification. Configurez les paramètres réseau du nœud si vous ne l'avez pas fait lors du déploiement de l'OVA. |
| 5 |
Téléchargez et montez l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. |
| 6 |
Configurer le nœud HDS pour l’intégration du proxy Si l'environnement réseau nécessite une configuration de proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat de proxy au magasin de certificats de confiance si nécessaire. |
| 7 |
Enregistrez le premier nœud du cluster Enregistrez la machine virtuelle auprès du cloud Cisco Webex en tant que nœud de sécurité des données hybride. |
| 8 |
Créez et enregistrez davantage de nœuds Finalisez la configuration du cluster. |
| 9 |
Activer le HDS multi-locataire sur le Partner Hub. Activez HDS et gérez les organisations locataires sur Partner Hub. |
Effectuez la configuration initiale et téléchargez les fichiers d'installation
Dans cette tâche, vous téléchargez un fichier OVA sur votre machine (et non sur les serveurs que vous configurez en tant que nœuds de sécurité des données hybrides). Vous utilisez ce fichier plus tard dans le processus d'installation.
| 1 |
Connectez-vous à Partner Hub, puis cliquez sur Services. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides, puis cliquez sur Configurer. Cliquer sur Configurer dans Partner Hub est essentiel au processus de déploiement. Ne procédez pas à l'installation sans avoir terminé cette étape. |
| 3 |
Cliquez sur Ajouter une ressource et cliquez sur Télécharger le fichier .OVA sur la carte Installer et configurer le logiciel. Les anciennes versions du progiciel (OVA) ne seront pas compatibles avec les dernières mises à jour de Hybrid Data Security. Cela peut entraîner des problèmes lors de la mise à jour de l'application. Assurez-vous de télécharger la dernière version du fichier OVA. Vous pouvez également télécharger l'OVA à tout moment depuis la section Aide. Cliquez sur . Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre ordinateur.
|
Créer une configuration ISO pour les hôtes HDS
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus d'installation nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1 à 5 de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5 ci-dessous. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. | ||||||||||
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : | ||||||||||
| 3 |
À l’invite du mot de passe, saisissez ce hachage : | ||||||||||
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : | ||||||||||
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » | ||||||||||
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. | ||||||||||
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. | ||||||||||
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. | ||||||||||
| 9 |
Sur la page Importation ISO, vous disposez des options suivantes :
| ||||||||||
| 10 |
Vérifiez que votre certificat X.509 répond aux exigences décrites dans Exigences relatives au certificat X.509.
| ||||||||||
| 11 |
Saisissez l'adresse de la base de données et le compte pour que HDS puisse accéder à votre magasin de données clés : | ||||||||||
| 12 |
Sélectionnez un Mode de connexion à la base de données TLS:
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L’outil vérifie également le signataire du certificat et le nom d’hôte, le cas échéant. Si un test échoue, l’outil affiche un message d’erreur décrivant le problème. Vous pouvez choisir si vous souhaitez ignorer l’erreur et poursuivre l’installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine exécutant l'outil de configuration HDS ne parvient pas à la tester avec succès.) | ||||||||||
| 13 |
Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||
| 14 |
(Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, c'est le seul paramètre que vous pourriez vouloir modifier : | ||||||||||
| 15 |
Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||
| 16 |
Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à retrouver. | ||||||||||
| 17 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. | ||||||||||
| 18 |
Pour fermer l'outil de configuration, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer davantage de nœuds pour la récupération ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous perdez également la clé principale. Il est impossible de récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server.
Nous ne possédons jamais de copie de cette clé et nous ne pouvons pas vous aider si vous la perdez.
Installer l'OVA de l'hôte HDS
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. |
| 2 |
Sélectionnez FichierDéployer le modèle OVF… |
| 3 |
Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. |
| 4 |
Sur la page ] Sélectionnez un nom et un dossier, entrez un Nom de machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de machine virtuelle peut résider, puis cliquez sur Suivant. |
| 5 |
Sur la page Sélectionner une ressource de calcul, choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est exécuté. Une fois l'opération terminée, les détails du modèle s'affichent. |
| 6 |
Vérifiez les détails du modèle, puis cliquez sur Suivant. |
| 7 |
Si l'on vous demande de choisir la configuration des ressources sur la page Configuration, cliquez sur 4 CPU puis sur Suivant. |
| 8 |
Sur la page Sélectionner le stockage, cliquez sur Suivant pour accepter le format de disque par défaut et la stratégie de stockage de la machine virtuelle. |
| 9 |
Sur la page Sélectionner les réseaux, choisissez l'option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la VM. |
| 10 |
Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration des paramètres réseau et suivre les étapes décrites dans Configurer la machine virtuelle Hybrid Data Security pour configurer les paramètres à partir de la console du nœud. L'option permettant de configurer les paramètres réseau lors du déploiement d'OVA a été testée avec ESXi 7.0 et 8.0. Cette option peut ne pas être disponible dans les versions antérieures. |
| 11 |
Cliquez avec le bouton droit sur la machine virtuelle du nœud, puis choisissez . Le logiciel Hybrid Data Security est installé en tant qu'invité sur l'hôte de la machine virtuelle. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter pour la première fois à la console de la machine virtuelle du nœud Hybrid Data Security et définir les informations d'identification. Vous pouvez également utiliser la console pour configurer les paramètres réseau du nœud si vous ne les avez pas configurés lors du déploiement de l'OVA.
| 1 |
Dans le client VMware vSphere, sélectionnez la MV de votre nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La MV démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
| 2 |
Utilisez le nom d'utilisateur et le mot de passe par défaut suivants pour vous connecter et modifier les informations d'identification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe de l'administrateur. |
| 3 |
Si vous avez déjà configuré les paramètres réseau dans Installez l'OVA HDS Host, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
| 4 |
Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. Le protocole DHCP n'est pas pris en charge. |
| 5 |
(Facultatif) Changez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre politique réseau. Vous n'avez pas besoin de configurer le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
| 6 |
Enregistrez la configuration réseau et redémarrez la machine virtuelle afin que les modifications prennent effet. |
Téléchargez et montez l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne devrait être divulgué qu'aux personnes qui en ont besoin, pour l'accès aux machines virtuelles de sécurité des données hybrides et aux administrateurs qui pourraient avoir besoin d'y apporter des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder au magasin de données.
| 1 |
Téléchargez le fichier ISO depuis votre ordinateur: |
| 2 |
Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique l'exige, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l’intégration du proxy
Si l’environnement réseau nécessite un proxy, suivez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d’inspection transparent ou un proxy HTTPs explicite, vous pouvez utiliser l’interface du nœud pour charger et installer la certificat racine. Vous pouvez également vérifier la connexion du proxy à partir de l’interface et résoudre les problèmes potentiels.
Avant de commencer
-
Consultez la section Assistance proxy pour un aperçu des options de proxy prises en charge.
| 1 |
Saisissez l'URL de configuration du nœud HDS |
| 2 |
Allez à Trust Store & proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d’inspection transparent, un proxy HTTP explicite avec l’authentification de base, ou un proxy HTTPs explicite. |
| 3 |
Cliquez sur Télécharger un certificat racine ou un certificat d’entité finale, puis allez à un choix de l’certificat racine pour le proxy. Le certificat est chargé mais n’a pas encore été installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche du chevron en regard du nom de l’émetteur du certificat pour obtenir plus de détails ou cliquez sur supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
| 4 |
Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d’erreur qui montre la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS. Cette situation est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez poursuivre la configuration et le nœud fonctionnera en mode de résolution DNS externe bloqué. Si vous pensez qu'il s'agit d'une erreur, suivez ces étapes, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
| 5 |
Lorsque le test de connexion réussit, pour le proxy explicite configuré sur HTTPS uniquement, désactivez l’option Activer pour acheminer toutes les demandes HTTPS du port 443/444 à partir de ce nœud via le proxy explicite. Ce paramètre nécessite que 15 secondes prennent effet. |
| 6 |
Cliquez sur installer tous les certificats dans la Banque de confiance (s’affiche pour un proxy explicite HTTPS ou un proxy d’inspection transparent) ou Redémarrez (s’affiche pour un proxy http explicite), lisez l’invite, puis cliquez sur installer si vous êtes prêt (e). Le nœud redémarre dans quelques minutes. |
| 7 |
Après le redémarrage du nœud, reconnectez-vous si nécessaire, puis ouvrez la page de présentation pour vérifier les vérifications de connectivité pour vérifier qu’elles sont toutes dans le statut vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S’il y a des problèmes de connectivité, un problème commun est que certains domaines du Cloud listés dans les instructions d’installation sont bloqués sur le proxy. |
Enregistrez le premier nœud du cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour assurer la redondance.
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 4 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 5 |
Dans le premier champ de la carte Créer un nouveau cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 6 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 7 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 8 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex.
|
| 9 |
Cliquez sur le lien ou fermez l'onglet pour revenir à la page Sécurité des données hybrides du Centre de partenaires. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
Créez et enregistrez davantage de nœuds
Avant de commencer
-
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
-
Assurez-vous que tous les bloqueurs de fenêtres contextuelles de votre navigateur sont désactivés ou que vous avez autorisé une exception pour admin.webex.com.
| 1 |
Créez une nouvelle machine virtuelle à partir de l'OVA, en répétant les étapes décrites dans Installez l'OVA de l'hôte HDS. |
| 2 |
Configurez la configuration initiale sur la nouvelle VM en répétant les étapes décrites dans Configurer la VM Hybrid Data Security. |
| 3 |
Sur la nouvelle VM, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
| 4 |
Si vous configurez un proxy pour votre déploiement, répétez les étapes décrites dans Configurer le nœud HDS pour l'intégration du proxy selon les besoins du nouveau nœud. |
| 5 |
Enregistrer le nœud. |
Que faire ensuite
Activer le HDS multi-locataire sur le hub partenaire
Cette tâche garantit que tous les utilisateurs des organisations clientes peuvent commencer à tirer parti de HDS pour les clés de chiffrement sur site et d'autres services de sécurité.
Avant de commencer
Assurez-vous d'avoir terminé la configuration de votre cluster HDS multi-locataire avec le nombre de nœuds requis.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. |
| 4 |
Cliquez sur Activer HDS sur la carte État HDS. |
Ajouter les organisations locataires dans le Partner Hub
Dans cette tâche, vous affectez des organisations clientes à votre cluster de sécurité des données hybride.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Allez dans l'onglet Clients attribués. L'onglet Clients attribués ne s'affichera pas tant que vous n'aurez pas créé de cluster. |
| 5 |
Cliquez sur Ajouter des clients. |
| 6 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 7 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 8 |
Répétez les étapes 5 à 7 pour ajouter plusieurs clients à votre groupe. |
| 9 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. Les clients ajoutés seront synchronisés sur tous les clusters disponibles. |
Que faire ensuite
Créez des clés principales client (CMK) à l'aide de l'outil de configuration HDS.
Avant de commencer
Attribuer les clients comme indiqué dans Ajouter les organisations locataires dans Partner Hub. Exécutez l'outil de configuration HDS pour terminer le processus de configuration des organisations clientes nouvellement ajoutées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. Assurez-vous de la connectivité à votre base de données pour effectuer la gestion des CMK. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la création de la CMK réussie, le statut dans le tableau passera de Gestion de la CMK en attente à CMK gérée. |
| 13 |
Si la création de la CMK échoue, une erreur sera affichée. |
Supprimer les organisations locataires
Avant de commencer
Une fois supprimés, les utilisateurs des organisations clientes ne pourront plus utiliser HDS pour leurs besoins de chiffrement et perdront tous leurs espaces existants. Avant de supprimer des organisations clientes, veuillez contacter votre partenaire Cisco ou votre responsable de compte.
| 1 |
Connectez-vous à https://admin.webex.com. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, trouvez Sécurité des données hybrides et cliquez sur Afficher tout. |
| 4 |
Sur la page qui s'ouvre, cliquez sur l'onglet Clients attribués. |
| 5 |
Dans la liste des organisations clientes affichées, cliquez sur |
Que faire ensuite
Finalisez le processus de suppression en révoquant les CMK des organisations clientes comme indiqué dans Révoquer les CMK des locataires supprimés de HDS.
Révoquer les cartes CMK des locataires expulsés du HDS.
Avant de commencer
Supprimer les clients comme indiqué dans Supprimer les organisations locataires. Exécutez l'outil de configuration HDS pour terminer le processus de suppression des organisations clientes qui ont été supprimées.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » |
| 6 |
L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. Utilisez un navigateur Web pour accéder à localhost, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié à ce compte. L'outil affiche ensuite l'invite de connexion standard. |
| 7 |
Lorsque vous y êtes invité, saisissez vos identifiants de connexion d'administrateur Partner Hub, puis cliquez sur Se connecter pour autoriser l'accès aux services requis pour la sécurité des données hybrides. |
| 8 |
Dans la page de présentation de l'outil de configuration, cliquez sur Commencer. |
| 9 |
Sur la page Importation ISO, cliquez sur Oui. |
| 10 |
Sélectionnez votre fichier ISO dans le navigateur et téléchargez-le. |
| 11 |
Accédez à l'onglet Gestion des CMK locataires, où vous trouverez les trois façons suivantes de gérer les CMK locataires.
|
| 12 |
Une fois la révocation de la CMK effectuée avec succès, l'organisation cliente n'apparaîtra plus dans le tableau. |
| 13 |
Si la révocation de la CMK échoue, un message d'erreur s'affichera. |
Tester le déploiement de sécurité de vos données hybrides
Avant de commencer
-
Configurez votre déploiement de sécurité des données hybride multi-locataire.
-
Assurez-vous d'avoir accès au journal système (syslog) pour vérifier que les requêtes clés sont bien transmises à votre déploiement de sécurité des données hybride multi-locataire.
| 1 |
Les clés d'un espace donné sont définies par le créateur de l'espace. Connectez-vous à l'application Webex en tant qu'utilisateur de l'organisation cliente, puis créez un espace. Si vous désactivez le déploiement de la sécurité des données hybrides, le contenu des espaces créés par les utilisateurs ne sera plus accessible une fois que les copies des clés de chiffrement mises en cache côté client auront été remplacées. |
| 2 |
Envoyer des messages au nouvel espace. |
| 3 |
Vérifiez la sortie syslog pour vous assurer que les requêtes clés sont bien transmises à votre déploiement Hybrid Data Security. Si un utilisateur d'une organisation cliente nouvellement ajoutée effectue une action, l'ID de l'organisation apparaîtra dans les journaux, et cela peut être utilisé pour vérifier que l'organisation utilise Multi-Tenant HDS. Vérifiez la valeur de |
Interprétation des journaux HDS et compréhension des étiquettes des agents
Les journaux HDS fournissent des informations détaillées concernant les requêtes KMS. Ces journaux comprennent différents champs qui permettent d'identifier la nature de la requête et l'identité associée. La compréhension de ces domaines est essentielle pour interpréter correctement les activités et garantir la fiabilité des opérations internes.
Terminologie
Pour garantir la clarté lors de l'examen des journaux HDS, il est important de comprendre les termes suivants :
| Terme | Définition |
|---|---|
| Compte de service | Une identité de service qui permet aux services Webex d'effectuer des actions autorisées en toute sécurité. |
| Agent | Une entité de service ou une identité de compte de service utilisée pour effectuer des opérations automatisées au sein de l'environnement HDS. |
| Étiquette de l'agent | Une étiquette incluse dans les journaux HDS qui identifie la source et le type spécifiques d'une requête entrante, permettant un audit efficace du contrôle d'accès. |
| Accès délégué | Un compte de service autorisé effectuant une requête pour un utilisateur spécifique, dans les limites des autorisations de cet utilisateur. Apparaît comme une demande de délégation: agent -> userid. |
Dans ce contexte, le terme « Agent » fait spécifiquement référence aux identités de service HDS. Ces éléments n'ont aucun lien avec les agents dotés d'intelligence artificielle utilisés dans d'autres fonctionnalités de Webex.
Une requête n'est traitée que lorsqu'elle provient de :
- un utilisateur authentifié de votre organisation, ou
- un compte de service qui réside dans votre organisation et est autorisé par celle- ci .
Aperçu des champs de journalisation
| Champ | Ce que cela représente |
|---|---|
| Horodatage | Date et heure de l'opération. |
| kms.data.method | L'opération KMS effectuée (par exemple, récupération). |
| kms.data.orgld | Identifiant de l'organisation. |
| kms.data.httpUserAgent | Le client ou le service qui effectue la demande. |
| WEBEX_IDENTIFIANT DE SUIVI | Identifiant de suivi unique pour la requête. |
| kms.data.uriHost / kms.data.uri | L'hôte et la ressource ciblés par la requête. |
| kms.data.userld | L'identité effectuant la requête, y compris l'étiquette de l'agent. |
| kms.response.succès | Indique si la requête a abouti. |
Types de requêtes - Guide rapide
| Étiquette dans le journal | Étiquette de l'agent | Ce que cela représente | Opérations typiques |
|---|---|---|---|
| Type d'utilisateur : AgentUtilisateur | Agent Utilisateur | Un compte de service de confiance lié à un flux de travail utilisateur et limité à votre organisation. | Creating/managing clés pour un processus utilisateur. |
| o-agent <id> -> ID de l'utilisateur <id> | Agent d'organisation | Un compte de service de confiance au niveau de l'organisation utilisant un accès délégué. | Extraction des données Webex et intégrations de calendrier par le responsable de la conformité. |
| c-agent <id> -> ID de l'utilisateur <id> | Agent cloud | Un service Webex exécutant une requête déléguée pour un utilisateur spécifique. | Analyse antivirus, aperçu du contenu, transcriptions. |
| agent c <id> | Agent cloud | Un service Webex exécutant une requête déléguée. | ECDHE / clés de session. |
| UUID de l'utilisateur final | - | L'utilisateur final authentifié interagissant avec HDS. | Un utilisateur récupère sa propre clé. |
Types de requêtes - En détail
Les étiquettes d'agent catégorisent la source de la requête et aident à déterminer les contrôles d'accès appropriés. Les exemples suivants illustrent différents types de requêtes et les étiquettes d'agent qui leur sont associées.
-
Agent utilisateur (userAgent):
Il s'agit de comptes de service Webex de confiance, associés à des flux de travail utilisateur spécifiques et limités à l'organisation cliente. Elles sont généralement utilisées lorsqu'un service crée et gère des clés pour le compte d'un flux de travail utilisateur.
Exemple de journal :
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent utilisateur (
userAgent) effectuant des opérations de collecte de ressources pour un service Webex. -
Agent d'organisation (o-agent):
Ces comptes de service Webex de confiance sont autorisés à effectuer des opérations déléguées au nom des utilisateurs au sein de HDS. Ces comptes, adaptés à l'organisation cliente, exécutent des opérations au niveau de l'organisation. Cette fonctionnalité prend en charge plusieurs fonctions, telles que la possibilité pour les responsables de la conformité de rechercher et d'extraire les données de communication Webex, garantissant ainsi l'alignement de l'organisation avec les normes réglementaires, de sécurité et de confidentialité des données.
Exemple de journal :
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent d'organisation (
o-agent 9[~]c) récupérant une clé au nom de l'utilisateur (4[~]b) pour un service Webex. - Agent Cloud (c-agent):
Ces comptes de service Webex de confiance sont autorisés à effectuer des opérations sur HDS via un accès délégué au nom d'un utilisateur. Ils prennent en charge des fonctionnalités essentielles, telles que l'enregistrement des réunions, les transcriptions, l'analyse anti-malware et la prévisualisation des fichiers, qui améliorent l'expérience utilisateur globale.
Bien que les agents cloud puissent être désactivés en modifiant l'ISO, les clients doivent savoir que cela entraînera une perte de fonctionnalités, telles que les enregistrements post-réunion, les transcriptions, les aperçus de fichiers et l'analyse anti-malware automatisée dans Webex App Spaces. Pour plus d'informations, consultez la section Désactiver les agents cloud.
Exemple de journal :
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=Indicateur clé: L'exemple de journal montre un agent cloud (
c-agent b[~]c) récupérant une clé de contenu au nom de l'utilisateur (9[~]c). -
Interaction directe avec l'utilisateur final:
Un utilisateur authentifié interagissant directement avec HDS.
Exemple de journal :
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true Indicateur clé: L'exemple de journal montre un utilisateur final (
c[~]f) récupérant une clé et interagissant directement avec HDS.
Contrôler l'intégrité de la sécurité des données hybrides
| 1 |
Dans Partner Hub, sélectionnez Services dans le menu situé à gauche de l'écran. |
| 2 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Modifier les paramètres. La page Paramètres des données hybrides s'affiche.
|
| 3 |
Dans la section Notifications par courrier électronique, tapez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer un calendrier de mise à niveau des clusters
Pour configurer le calendrier de mise à niveau :
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Configurer |
| 4 |
Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
| 5 |
Cliquez sur l'onglet Paramètres du cluster. |
| 6 |
Sur la page Paramètres du cluster, sous Planification des mises à niveau, sélectionnez l'heure et le fuseau horaire de la planification des mises à niveau. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à niveau au lendemain, si nécessaire, en cliquant sur Reporter de 24 heures. |
Changer la configuration du nœud
-
La modification des certificats x.509 en raison de l’expiration ou d’autres raisons.
Nous ne supportons pas la modification du nom de domaine NC d’un certificat. Le domaine doit correspondre au domaine d’origine utilisé pour enregistrer le cluster.
-
La mise à jour des paramètres de la base de données pour changer vers une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne supportons pas la migration des données de PostgreSQL vers le serveur Microsoft SQL, ou la façon opposée. Pour changer l’environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
-
Créer une nouvelle configuration pour préparer un nouveau centre de données.
De plus, à des fins de sécurité, la sécurité des données hybrides utilise des mots de passe de compte de service d’une durée de vie de neuf mois. Lorsque l’outil de configuration HDS génère ces mots de passe, vous les déployez sur chacun de vos nodes HDS dans le fichier de configuration ISO. Lorsque l’expiration des mots de passe de votre organisation approche, vous recevez une notification de l’équipe Webex vous avisant de réinitialiser le mot de passe de votre compte d’ordinateur. (Le courrier électronique contient le texte, « Utiliser l’API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n’ont pas encore expiré, l’outil vous offre deux options :
-
Réinitialisation logicielle— Les anciens et nouveaux mots de passe fonctionnent tous deux pendant 10 jours maximum. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nodes.
-
Réinitialisation matérielle— Les anciens mots de passe cessent immédiatement de fonctionner.
Si vos mots de passe expirent sans réinitialisation, ils ont un impact sur votre service HDS, nécessitant une réinitialisation matérielle et un remplacement immédiat du fichier ISO sur tous les nodes.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l’appliquer à votre cluster.
Avant de commencer
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cet ordinateur. Le processus de configuration nécessite les identifiants d'un compte Partner Hub disposant de droits d'administrateur complets pour les partenaires.
Si vous ne possédez pas de licence Docker Desktop, vous pouvez utiliser Podman Desktop pour exécuter l'outil HDS Setup pour les étapes 1.a à 1.e de la procédure ci-dessous. Voir Exécuter l'outil HDS Setup à l'aide de Podman Desktop pour plus de détails.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker dans 1.e. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L’ISO contient la clé principale cryptant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l’ISO lorsque vous aiséz des modifications à la configuration, y compris les informations d’identification de la base de données, les mises à jour des certificats, ou les modifications de la politique d’autorisation.
| 1 |
En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
| 2 |
Si vous n'avez qu'un seul nœud HDS en cours d'exécution,, créez une nouvelle machine virtuelle de nœud Hybrid Data Security et enregistrez-la à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer plus de nœuds. |
| 3 |
Pour les nods HDS existants qui exécutent l’ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à son tour, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
| 4 |
répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cisco Webex Cloud. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloqué.
Si vos nœuds peuvent résoudre les noms DNS publics via les serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion du proxy sur chaque nœud.
Avant de commencer
| 1 |
Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (IP) address/setup, par exemple, https://192.0.2.0/setup), entrez les identifiants d'administrateur que vous avez configurés pour le nœud, puis cliquez sur Se connecter. |
| 2 |
Allez à Aperçu (page par défaut). Lorsqu’elle est activée, la résolution DNS externe bloquée est définie sur Oui. |
| 3 |
Allez à la page proxy de la Banque de confiance & . |
| 4 |
Cliquez sur Vérifier la connexion du proxy. Si vous voyez un message indiquant que la résolution DNS externe n’a pas réussi, le nœud n’a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenez à la page d’aperçu, la résolution DNS externe bloquée doit être configurée sur non. |
Que faire ensuite
Supprimer un nœud
| 1 |
Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et arrêter la machine virtuelle. |
| 2 |
Supprimer le nœud : |
| 3 |
Dans le client vSphere, supprimez la machine virtuelle. (Dans le volet de navigation de gauche, cliquez avec le bouton droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Reprise après sinistre à l'aide d'un centre de données de secours
Le service le plus important fourni par votre cluster Hybrid Data Security est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le cloud Webex. Pour chaque utilisateur de l'organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également chargé de renvoyer les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster reste en cours d'exécution et que les sauvegardes appropriées soient conservées. La perte de la base de données Hybrid Data Security ou de la configuration ISO utilisée pour le schéma entraînera une perte Irrécupérable du contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si une catastrophe rend indisponible le déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
Avant de commencer
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez la configuration
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez le processus pour chaque nœud du centre de données de secours. Vérifiez les journaux système (syslog) pour vous assurer que les nœuds du centre de données de secours ne sont pas en mode passif. Le message « KMS configuré en mode passif » ne devrait pas apparaître dans les journaux système. |
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard fonctionne avec l'ISO monté. Cependant, certains clients préfèrent ne pas laisser les fichiers ISO montés en permanence. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS auront pris en compte la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez une nouvelle image ISO ou mettez à jour une image ISO via l'outil de configuration, vous devez monter l'image ISO mise à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds auront pris en compte les modifications de configuration, vous pourrez à nouveau démonter l'ISO en suivant cette procédure.
Avant de commencer
Mettez à niveau tous vos nœuds HDS vers la version 2025.06.02.6983 ou ultérieure.
| 1 |
Arrêtez l'un de vos nœuds HDS. |
| 2 |
Dans l'appliance vCenter Server, sélectionnez le nœud HDS. |
| 3 |
Choisissez et décochez Fichier ISO du magasin de données. |
| 4 |
Mettez sous tension le nœud HDS et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 20 minutes. |
| 5 |
Répétez l'opération pour chaque nœud HDS. |
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybride est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement que les requêtes expirent. Si les utilisateurs ne peuvent pas accéder à votre cluster Hybrid Data Security, ils rencontrent les symptômes suivants :
-
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
-
Les messages et les espaces ne parviennent pas à décrypter pour :
-
les nouveaux utilisateurs ajoutés à un espace (impossible d'extraire les clés)
-
les utilisateurs existants dans un espace utilisant un nouveau client (impossible d'extraire les clés)
-
-
Les utilisateurs existants dans un espace continueront à s'exécuter correctement tant que leurs clients auront un cache des clés de chiffrement
Il est important de surveiller correctement votre cluster de sécurité des données hybrides et de traiter rapidement toute alerte afin d'éviter toute interruption de service.
Alertes
En cas de problème avec la configuration de la sécurité des données hybrides, Partner Hub affiche des alertes à l'administrateur de l'organisation et envoie des e-mails à l'adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
|
Alerte |
Action |
|---|---|
|
Échec d'accès à la base de données locale. |
Vérifiez les erreurs de la base de données ou les problèmes de réseau local. |
|
Échec de la connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les informations d'identification du compte de service appropriées ont été utilisées dans la configuration du nœud. |
|
Échec de l'accès au service du Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
|
Renouvellement de l'enregistrement du service du Cloud. |
L'inscription aux services du Cloud a été abandonnée. Le renouvellement de l'enregistrement est en cours. |
|
L'enregistrement du service du Cloud s'est arrêté. |
L'inscription aux services du Cloud est terminée. Le service est en train de fermer. |
|
Le service n'est pas encore activé. |
Activez HDS dans le Partner Hub. |
|
Le domaine configuré ne correspond pas au certificat du serveur. |
Assurez-vous que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le certificat NC a été modifié récemment et qu'il est maintenant différent du NC utilisé lors de l'installation initiale. |
|
Échec de l'authentification auprès des services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'identification du compte de service. |
|
Impossible d'ouvrir le fichier de magasin de clés local. |
Vérifiez l'intégrité et la précision du mot de passe sur le fichier de magasin de clés local. |
|
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
|
Impossible de publier des statistiques. |
Vérifiez l'accès au réseau local aux services du Cloud externes. |
|
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration de montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il se monte correctement. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations ajoutées. |
Effectuez la configuration complète en créant des CMK pour les organisations locataires nouvellement ajoutées à l'aide de l'outil de configuration HDS. |
|
La configuration de l'organisation locataire n'est pas terminée pour les organisations supprimées. |
Finalisez la configuration en révoquant les CMK des organisations locataires qui ont été supprimées à l'aide de l'outil de configuration HDS. |
Dépannage de la sécurité des données hybrides
| 1 |
Connectez-vous au Hub partenaire. |
| 2 |
Dans le menu situé à gauche de l'écran, sélectionnez de services . |
| 3 |
Dans la section Hybride, recherchez Sécurité des données hybrides et cliquez sur Événements. |
| 4 |
Consultez la page d'historique des événements pour repérer les alertes et corrigez les problèmes que vous y trouvez. Voir l'image ci-dessous pour référence. |
| 5 |
Examinez les journaux système du serveur syslog pour détecter toute activité provenant du déploiement de la sécurité des données hybrides. Filtrez les résultats pour trouver des mots comme « Avertissement » et « Erreur » afin de faciliter le dépannage. |
| 6 |
Contacter l'Assistance Cisco. |
API de développement HDS
Les API HDS Developer permettent de récupérer des données d'analyse et de surveillance, ainsi que de dépanner vos déploiements HDS via le portail développeur Webex. Les API sont disponibles à l' https://developer.webex.com/messaging/docs/api/v1/hds.
Problèmes connus avec la sécurité des données hybrides
-
Si vous arrêtez tous vos clusters actifs Hybrid Data Security (en les supprimant dans Partner Hub ou en arrêtant tous les nœuds), si vous perdez votre fichier ISO de configuration ou si vous perdez l'accès à la base de données du magasin de clés, les utilisateurs de l'application Webex des organisations clientes ne pourront plus utiliser les espaces de leur liste de personnes qui ont été créés avec des clés de votre KMS. Nous n'avons actuellement pas de solution ou de correctif à ce problème et nous vous exhortons à ne pas fermer vos services HDS lorsqu'ils traitent des comptes utilisateurs actifs.
-
Un client qui a une connexion ECDH existante vers un KMS maintient cette connexion pendant une période de temps (probablement une heure).
Exécutez l'outil d'installation HDS à l'aide de Podman Desktop.
Podman est un outil de gestion de conteneurs gratuit et open source qui permet d'exécuter, de gérer et de créer des conteneurs. Podman Desktop peut être téléchargé depuis https://podman-desktop.io/downloads.
-
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, téléchargez et exécutez Podman sur cette machine. Le processus d’installation nécessite les informations d’identification d’un compte Control Hub 6.0 avec les droits d’administrateur complets pour votre organisation.
Si l'outil HDS Setup s'exécute derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors du démarrage du conteneur Docker à l'étape 5. Ce tableau fournit quelques variables possibles pour l’environnement :
Description
Variable
Proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTProxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTProxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTProxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière version de ce fichier chaque fois que vous effectuez des modifications de configuration, comme celles-ci :
-
Identifiants de base de données
-
Mises à jour des certificats
-
Modifications apportées à la politique d'autorisation
-
-
Si vous prévoyez de chiffrer les connexions à la base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
Le processus d'installation de Hybrid Data Security crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
| 1 |
À la ligne de commande de votre machine, entrez la commande appropriée pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : Cette étape nettoye les images de l’outil de configuration HDS précédentes. S’il n’y a aucune image précédente, elle renvoie une erreur que vous pouvez ignorer. |
| 2 |
Pour vous connectez au registre d’image Docker, saisissez ce qui suit : |
| 3 |
À l’invite du mot de passe, saisissez ce hachage : |
| 4 |
Téléchargez la dernière image stable pour votre environnement : Dans les environnements réguliers : Dans les environnements FedRAMP : |
| 5 |
Lorsque l’pull est terminé, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d’exécution, vous voyez « Le serveur Express écoute sur le port 8080. » L'outil de configuration ne prend pas en charge la connexion à localhost via http://localhost:8080. Utilisez http://127.0.0.1:8080 pour vous connecter à localhost. |
Que faire ensuite
Désactiver les agents cloud
Suivez les étapes ci-dessous pour désactiver les agents cloud de votre déploiement HDS.
Cela entraînera la perte de fonctionnalités telles que les enregistrements post-réunion, les transcriptions, les aperçus de fichiers et l'analyse anti-malware automatisée dans Webex App Spaces.
| 1 |
Démarrez l'outil d'installation HDS et suivez les étapes mentionnées dans Créer une image ISO de configuration pour les hôtes HDS. Le fichier ISO doit être une copie du fichier ISO original du centre de données principal sur lequel les mises à jour de configuration suivantes doivent être effectuées. |
| 2 |
Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés. |
| 3 |
Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour désactiver les agents cloud. Cela permettra de s'assurer que les agents cloud ne sont pas autorisés à gérer le trafic HDS.
|
| 4 |
Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à retrouver. |
| 5 |
Créez une copie de sauvegarde du fichier ISO sur votre système local. Conservez la copie de sauvegarde en lieu sûr. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limiter l'accès aux seuls administrateurs de la sécurité des données hybrides autorisés à effectuer des modifications de configuration. |
| 6 |
Dans le volet de navigation gauche du client VMware vSphere, cliquez avec le bouton droit sur la VM et cliquez sur Modifier les paramètres.. |
| 7 |
Cliquez sur Modifier les paramètres >CD/DVD Lecteur 1 et sélectionnez Fichier ISO de la banque de données. Assurez-vous que les options Connecté et Connexion à la mise sous tension sont cochées afin que les modifications de configuration mises à jour puissent prendre effet après le démarrage des nœuds. |
| 8 |
Mettez le nœud HDS sous tension et assurez-vous qu'aucune alarme ne se déclenche pendant au moins 15 minutes. |
| 9 |
Répétez l'opération pour chaque nœud de votre déploiement HDS. Vérifiez que les agents cloud sont désactivés en consultant les journaux système pour l'entrée suivante : « Mise à jour de l'agent cloud désactivée ». |
Déplacez le déploiement HDS mono-locataire existant d'une organisation partenaire dans Control Hub vers une configuration HDS multi-locataire dans Partner Hub.
La conversion d'un déploiement HDS mono-locataire existant d'une organisation partenaire géré dans Control Hub vers un déploiement HDS multi-locataire géré dans Partner Hub implique principalement la désactivation du service HDS dans Control Hub, la désinscription des nœuds et la suppression du cluster. Vous pouvez ensuite vous connecter à Partner Hub, enregistrer les nœuds, activer Multi-Tenant HDS et ajouter des clients à votre cluster.
Le terme « mono-locataire » fait simplement référence à un déploiement HDS existant dans Control Hub.
Désactivez HDS, désenregistrez les nœuds et supprimez tous les clusters dans Control Hub.
| 1 |
Connectez-vous à Control Hub. Dans le volet de gauche, cliquez sur Hybride. Sur la carte Sécurité des données hybrides, cliquez sur Modifier les paramètres. |
| 2 |
Sur la page des paramètres, faites défiler vers le bas jusqu'à la section Désactiver et cliquez sur Désactiver. |
| 3 |
Après la désactivation, cliquez sur l'onglet Ressources. |
| 4 |
La page Ressources répertorie les clusters de votre déploiement HDS. Cliquez sur un cluster, une page s'ouvre avec tous les nœuds de ce cluster. |
| 5 |
Cliquez sur |
| 6 |
Si votre déploiement comporte plusieurs clusters, répétez les étapes 4 et 5 jusqu'à ce que tous les nœuds soient désenregistrés. |
| 7 |
Cliquez sur Paramètres du cluster > Retirer. |
| 8 |
Cliquez sur Confirmer la suppression pour désenregistrer le cluster. |
| 9 |
Répétez le processus pour tous les clusters de votre déploiement HDS. Après la désactivation du HDS, la désinscription des nœuds et la suppression des clusters, la carte Hybrid Data Service sur Control Hub affichera Configuration non terminée en bas. |
Activez le HDS multi-locataire pour l'organisation partenaire sur Partner Hub et ajoutez des clients
Avant de commencer
Toutes les conditions préalables mentionnées dans Exigences pour la sécurité des données hybrides multi-locataires sont applicables ici. De plus, assurez-vous que la même base de données et les mêmes certificats soient utilisés lors de la migration vers un système HDS multi-locataire.
| 1 |
Connectez-vous à l'Espace Partenaires. Cliquez sur Services dans le volet de gauche. Utilisez la même image ISO que lors de votre précédent déploiement HDS pour configurer les nœuds. Cela permettra de garantir que les messages et le contenu générés par les utilisateurs dans le déploiement HDS existant précédent restent accessibles dans la nouvelle configuration multi-locataires. |
| 2 |
Dans la section Hybride, trouvez la carte Sécurité des données hybrides et cliquez sur Configurer. |
| 3 |
Sur la page qui s'ouvre, cliquez sur Ajouter une ressource. |
| 4 |
Dans le premier champ de la carte Créer un cluster, entrez un nom pour le cluster auquel vous souhaitez affecter votre nœud Hybrid Data Security. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : « San Francisco », « New York » ou « Dallas ». |
| 5 |
Dans le deuxième champ, entrez l'adresse IP interne ou le nom de domaine pleinement qualifié (FQDN) de votre nœud et cliquez sur Ajouter en bas de l'écran. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la VM Hybrid Data Security. Un message s'affiche vous indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
| 6 |
Cliquez sur Aller sur le nœud. Après quelques instants, vous serez redirigé vers les tests de connectivité des nœuds pour les services Webex. Si tous les tests aboutissent, la page Autoriser l'accès à un nœud de sécurité des données hybride s'affiche. Vous y confirmez que vous souhaitez autoriser votre organisation Webex à accéder à votre nœud. |
| 7 |
Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est désormais enregistré sur le cloud Webex. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré est affiché sous l'onglet Ressources. Le nœud télécharge automatiquement le dernier logiciel à partir du Cloud.
|
| 8 |
Allez dans l'onglet Paramètres et cliquez sur Activer sur la carte État HDS. HDS activé Le message apparaîtra en bas de l'écran.
|
| 9 |
Cliquez sur l'onglet Clients attribués. |
| 10 |
Cliquez sur Ajouter des clients. |
| 11 |
Sélectionnez le client que vous souhaitez ajouter dans le menu déroulant. |
| 12 |
Cliquez sur Ajouter, le client sera ajouté au groupe. |
| 13 |
Répétez les étapes 11 à 13 pour ajouter plusieurs clients à votre cluster. |
| 14 |
Cliquez sur Terminé en bas de l'écran une fois que vous avez ajouté les clients. |
Que faire ensuite
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
-
OpenSSL est un outil qui peut être utilisé pour effectuer le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire et nous ne soutenons pas ou ne promouvons pas l'un par rapport à un autre.
-
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure à titre indicatif pour vous aider à créer un fichier qui répond aux exigences du certificat X.509 dans Exigences du certificat X.509. Comprenez ces exigences avant de continuer.
-
Installez OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
-
Créer une clé privée.
-
Commencez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
| 1 |
Lorsque vous recevez le certificat serveur de votre autorité de certification, enregistrez-le sous le nom |
| 2 |
Affichez le certificat sous forme de texte et vérifiez les détails.
|
| 3 |
Utilisez un éditeur de texte pour créer un fichier de certificat appelé
|
| 4 |
Créez le fichier .p12 avec le nom convivial
|
| 5 |
Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retour à Terminer les prérequis pour la sécurité des données hybrides. Vous utiliserez le fichier hdsnode.p12 et le mot de passe que vous avez défini pour celui-ci dans Créer une image ISO de configuration pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire.
Trafic entre les nœuds HDS et le Cloud
Trafic des collection de mesures sortantes
Les nœuds de sécurité des données hybrides envoient certaines métriques au cloud Webex. Ceux-ci incluent les métriques du système pour le tas max, le tas utilisé, la charge du processeur et le nombre de threads ; les métriques sur les threads synchrones et asynchrones ; les métriques sur les alertes impliquant un seuil de connexion de chiffrement, de latence ou une longueur de file d'attente de demandes ; les métriques sur le magasin de données ; et les métriques de connexion de chiffrement. Les nœuds envoient un contenu de clés cryptées sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds Hybrid Data Security reçoivent les types de trafic entrant suivants en provenance du cloud Webex :
-
demandes de chiffrement des clients, acheminées par le service de chiffrement
-
Mises à niveau du logiciel du nœud
Configurer les proxys Squid pour la sécurité des données hybrides
WebSocket ne peut pas se connecter via le proxy Squid
Les proxys Squid qui inspectent le trafic HTTPS peuvent interférer avec l'établissement des connexions WebSocket (wss:) requises par Hybrid Data Security. Ces sections fournissent des indications sur la manière de configurer différentes versions de Squid pour ignorer le trafic wss: afin d'assurer le bon fonctionnement des services.
Squid 4 et 5
Ajoutez la directive on_unsupported_protocol à squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf. Ces règles sont sujettes à modification au fur et à mesure que nous élaborons des fonctionnalités et que nous mettons à jour le Webex Cloud.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
