- Početak
- /
- Članak
Hvala na povratnim informacijama.
Vodič za implementaciju Hibridne zaštite podataka aplikacije Webex
U ovome članku
Želite li poslati povratne informacije?Nove i promijenjene informacije
Datum | Promjene napravljene | ||
|---|---|---|---|
20. listopada 2023 |
| ||
07. kolovoza 2023 |
| ||
23. svibnja 2023 |
| ||
06. prosinca 2022 |
| ||
23. studenog 2022 |
| ||
13. listopada 2021 | Docker Desktop mora pokrenuti program za postavljanje prije nego što možete instalirati HDS čvorove. vidi Zahtjevi za Docker Desktop . | ||
24. lipnja 2021 | Primijetili smo da možete ponovno upotrijebiti datoteku privatnog ključa i CSR da biste zatražili drugi certifikat. vidi Koristite OpenSSL za generiranje PKCS12 datoteke za detalje. | ||
| 30. travnja 2021. | Promijenjen je zahtjev VM -a za lokalni prostor na tvrdom disku na 30 GB. vidi Zahtjevi virtualnog hosta za detalje. | ||
24. veljače 2021 | HDS Setup Tool sada može raditi iza proxyja. vidi Izradite konfiguracijski ISO za HDS hostove za detalje. | ||
2. veljače 2021 | HDS sada može raditi bez montirane ISO datoteke. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje. | ||
11. siječnja 2021 | Dodane su informacije o alatu za postavljanje HDS-a i proxyjima Izradite konfiguracijski ISO za HDS hostove . | ||
13. listopada 2020 | Ažurirano Preuzmite instalacijske datoteke . | ||
8. listopada 2020. | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s naredbama za FedRAMP okruženja. | ||
14. kolovoza 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s promjenama u procesu prijave. | ||
5. kolovoza 2020 | Ažurirano Testirajte svoju implementaciju sigurnosti hibridnih podataka za promjene u porukama dnevnika. Ažurirano Zahtjevi virtualnog hosta za uklanjanje maksimalni broj hostova. | ||
16. lipnja 2020 | Ažurirano Uklonite čvor za promjene u korisničkom sučelju Control Hub. | ||
4. lipnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove za promjene u naprednim postavkama koje biste mogli postaviti. | ||
29. svibnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove kako bismo pokazali da također možete koristiti TLS s bazama podataka SQL Servera, promjenama korisničkog sučelja i drugim pojašnjenjima. | ||
5. svibnja 2020 | Ažurirano Zahtjevi virtualnog hosta prikazati novi zahtjev ESXi 6.5. | ||
21. travnja 2020 | Ažurirano Zahtjevi za vanjsko povezivanje s novim domaćinima Americas CI. | ||
1. travnja 2020. | Ažurirano Zahtjevi za vanjsko povezivanje s informacijama o regionalnim CI domaćinima. | ||
| 20. veljače 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove s informacijama o novom opcionalnom zaslonu naprednih postavki u alatu za postavljanje HDS-a. | ||
| 4. veljače 2020 | Ažurirano Zahtjevi proxy poslužitelja . | ||
| 16. prosinca 2019. | Pojašnjen je zahtjev za rad u načinu razlučivanja blokiranog vanjskog DNS -a Zahtjevi proxy poslužitelja . | ||
| 19. studenog 2019 | Dodane su informacije o načinu razlučivanja blokiranog vanjskog DNS -a u sljedećim odjeljcima: | ||
8. studenog 2019 | Sada možete konfigurirati mrežne postavke za čvor tijekom implementacije OVA umjesto kasnije. U skladu s tim ažurirani su sljedeći odjeljci:
| ||
6. rujna 2019 | Dodan SQL Server Standard u Zahtjevi poslužitelja baze podataka . | ||
| 29. kolovoza 2019. | Dodano Konfigurirajte Squid proxy za hibridnu sigurnost podataka dodatak sa uputama za konfiguriranje Squid proxyja za zanemarivanje prometa websocketa radi ispravnog rada. | ||
| 20. kolovoza 2019 | Dodani i ažurirani odjeljci koji pokrivaju podršku proxyja za komunikacije čvora Hybrid Data Security u oblaku Webex . Da biste pristupili samo sadržaju podrške za proxy za postojeću implementaciju, pogledajte Proxy podrška za hibridnu sigurnost podataka i Webex Video Mesh članak pomoći. | ||
| 13. lipnja 2019 | Ažurirano Tijek zadatka od probnog do proizvodnog s podsjetnikom za sinkronizaciju HdsTrialGroup grupni objekt prije početka probnog postupka ako vaša organizacija koristi sinkronizaciju imenika. | ||
| 6. ožujka 2019 |
| ||
| 28. veljače 2019. |
| ||
| 26. veljače 2019. |
| ||
24. siječnja 2019 |
| ||
| 5. studenog 2018 |
| ||
| 19. listopada 2018 |
| ||
31. srpnja 2018 |
| ||
| 21. svibnja 2018. | Promijenjena terminologija koja odražava rebranding Cisco Spark:
| ||
| 11. travnja 2018 |
| ||
| 22. veljače 2018 |
| ||
| 15. veljače 2018. |
| ||
| 18. siječnja 2018. |
| ||
2. studenog 2017 |
| ||
18. kolovoza 2017 | Prvi put objavljeno |
Pregled sigurnosti hibridnih podataka
Od prvog dana sigurnost podataka je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.
Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom području sigurnosti. Hybrid Data Security premješta KMS i druge sigurnosne funkcije u vaš podaci poduzeća centar, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.
Arhitektura sigurnosnog područja
Webex arhitektura oblaka odvaja različite vrste usluga u zasebne domene ili domene povjerenja, kao što je prikazano u nastavku.
Da bismo bolje razumjeli sigurnost hibridnih podataka, pogledajmo najprije ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje se korisnici mogu izravno povezati s njihovim osobnim podacima kao što je adresa e-pošte, logično je i fizički odvojena od sigurnosnog područja u podatkovni centar B. Obje su zauzvrat odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj , u podatkovni centar C.
U ovom dijagramu klijent je aplikacija Webex koja se izvodi na prijenosnom računalu korisnika i provjerava autentičnost uslugom identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:
Klijent uspostavlja sigurna veza s uslugom upravljanja ključevima (KMS), a zatim zahtijeva ključ za šifriranje poruke. sigurna veza koristi ECDH, a KMS šifrira ključ pomoću AES-256 glavnog ključa.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka je pohranjena u području pohrane.
Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovom području.
Suradnja s drugim organizacijama
Korisnici u vašoj organizaciji mogu redovito koristiti aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak kroz zasebni ECDH kanal kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.
KMS usluga koja radi na organizaciji A provjerava valjanost veza s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. vidi Pripremite svoje okruženje za pojedinosti o generiranju x.509 certifikata za korištenje s vašom Hybrid Data Security implementacijom.
Očekivanja za implementaciju hibridne sigurnosti podataka
Implementacija Hybrid Data Security zahtijeva značajnu predanost korisnika i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.
Za implementaciju Hybrid Data Security morate osigurati:
Siguran podatkovni centar u zemlji koja je podržano mjesto za planove Cisco Webex Teams .
Oprema, softver i pristup mreži opisani u Pripremite svoje okruženje .
Potpuni gubitak bilo ISO konfiguracije koju ste izgradili za Hybrid Data Security ili baze podataka koju ste dali rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex . Ako se to dogodi, možete napraviti novu implementaciju, ali će biti vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:
Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO konfiguracije.
Budite spremni izvesti brzi oporavak od katastrofe od katastrofe ako se dogodi katastrofa, kao što je kvar diska baze podataka ili katastrofa podatkovni centar .
 | Ne postoji mehanizam za premještanje ključeva natrag u oblak nakon implementacije HDS-a. |
Proces postavljanja na visokoj razini
Ovaj dokument pokriva postavljanje i upravljanje Hybrid Data Security implementacijom:
Postavite hibridnu sigurnost podataka —To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, testiranje vaše implementacije s podskupom korisnika u probnom načinu rada i, nakon što je testiranje završeno, prelazak na proizvodnju. To pretvara cijelu organizaciju da koristi vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.
Faze postavljanja, ispitivanja i proizvodnje detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju Hybrid Data Security — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku razine jedan za ovu implementaciju i angažirati Ciscova podrška prema potrebi. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Control Hubu.
Razumjeti uobičajena upozorenja, korake za rješavanje problema i poznate probleme —Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Security, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći da utvrdite i riješite problem.
Model implementacije hibridne sigurnosti podataka
Unutar vašeg podaci poduzeća centra postavljate Hybrid Data Security kao jedan klaster čvorova na zasebnim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih webutičnica i sigurnog HTTP-a.
Tijekom procesa instalacije dajemo vam OVA datoteku za postaviti virtualnog uređaja na VM-ovima koje ste dali. Koristite alat za postavljanje HDS-a za stvaranje ISO datoteke prilagođene konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš osigurani Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Podatke o Syslogd-u i vezi s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)
Minimalni broj čvorova koji možete imati u klasteru je dva. Preporučujemo najmanje tri, a možete imati i do pet. Posjedovanje više čvorova osigurava da usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. ( Webex oblak nadograđuje samo jedan po jedan čvor.)
Svi čvorovi u klasteru pristupaju istoj pohrani ključeva i bilježe aktivnost na istom poslužitelju syslog. Sami čvorovi su bez državljanstva i rješavaju ključne zahtjeve na kružni način, prema uputama oblaka.
Čvorovi postaju aktivni kada ih registrirate u Control Hubu. Da biste isključili pojedini čvor iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.
Podržavamo samo jedan klaster po organizaciji.
Probni način sigurnosti hibridnih podataka
Nakon postavljanja implementacije Hybrid Data Security, prvo je isprobate s skupom pilot korisnika. Tijekom probnog razdoblja, ti korisnici koriste vašu lokalnu domenu Hybrid Data Security za ključeve za šifriranje i druge usluge sigurnosnog područja. Vaši drugi korisnici nastavljaju koristiti područje sigurnosti u oblaku.
Ako odlučite ne nastaviti s implementacijom tijekom probnog razdoblja i deaktivirati uslugu, pilot korisnici i svi korisnici s kojima su stupili u interakciju stvaranjem novih prostora tijekom probnog razdoblja izgubit će pristup porukama i sadržaju. Vidjet će "Ovu poruku nije moguće dešifrirati" u aplikaciji Webex .
Ako ste zadovoljni da vaša implementacija dobro funkcionira za probne korisnike i spremni ste proširiti Hybrid Data Security na sve svoje korisnike, premjestite implementaciju u produkciju. Korisnici pilota i dalje imaju pristup ključevima koji su bili u upotrebi tijekom probnog razdoblja. Međutim, ne možete se kretati naprijed-natrag između proizvodnog načina i izvorne probne verzije. Ako morate deaktivirati uslugu, kao što je izvođenje oporavak od katastrofe od katastrofe, kada ponovno aktivirate, morate pokrenuti novu probnu verziju i postaviti skup pilot korisnika za novo probno razdoblje prije nego što se vratite u proizvodni način rada. Hoće li korisnici zadržati pristup podacima u ovom trenutku ovisi o tome jeste li uspješno održavali sigurnosne kopije pohrana podataka i ISO konfiguracijska datoteka za čvorove Hybrid Data Security u vašem klasteru.
Podatkovni centar u stanju pripravnosti za oporavak od katastrofe
Tijekom implementacije postaviti sigurni podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovni centar , možete ručno ne uspjeti svoju implementaciju u podatkovni centar u stanju pripravnosti.
Baze podataka aktivnih i pričuvnih podatkovnih centara međusobno su sinkronizirane, što će minimizirati vrijeme potrebno za izvođenje prebacivanja. ISO datoteka podatkovni centar u stanju čekanja ažurira se dodatnim konfiguracijama koje osiguravaju da su čvorovi registrirani u organizaciji, ali neće upravljati prometom. Stoga čvorovi podatkovni centar u stanju čekanja uvijek ostaju ažurirani s najnovijom verzijom HDS softvera.
| Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovni centar kao i aktivni poslužitelj baze podataka. |
Postavite podatkovni centar u stanju čekanja za oporavak od katastrofe
Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovni centar u stanju čekanja:
Prije početka
podatkovni centar u stanju čekanja trebao bi odražavati proizvodno okruženje VM-a i sigurnosnu kopiju baze podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. (Vidi Podatkovni centar u stanju pripravnosti za oporavak od katastrofe za pregled ovog modela prelaska na kvar.)
Provjerite je li sinkronizacija baze podataka omogućena između baze podataka aktivnih i pasivnih čvorova klastera.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove .
| ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranici, dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom.
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
Nakon konfiguriranja passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez passiveMode konfiguraciju i spremite je na sigurno mjesto. Ova kopija ISO datoteke bez passiveMode konfigurirano može pomoći u brzom procesu prelaska na kvar tijekom oporavak od katastrofe od katastrofe. vidi Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja za detaljan postupak prelaska na grešku.
Podrška za proxy
Hibridna sigurnost podataka podržava eksplicitne, transparentne proxy i neinspekciju proxyja. Ove proxy servere možete povezati sa svojom implementacijom tako da možete osigurati i pratiti promet iz poduzeća u oblak. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru ukupnog statusa povezivanja nakon što postaviti proxy na čvorove.
Čvorovi Hybrid Data Security podržavaju sljedeće proxy opcije:
Nema proxyja —Zadana postavka ako ne koristite konfiguraciju HDS čvora Trust Store & Proxy za integraciju proxyja. Nije potrebno ažuriranje certifikata.
Transparentni proxy bez inspekcije — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata.
Transparentno tuneliranje ili proxy za inspekciju — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj . Na čvorovima nisu potrebne promjene konfiguracije HTTP ili HTTPS. Međutim, čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. Proxy proxy obično koristi IT za provođenje pravila o tome koja web-mjesta mogu biti posjećena i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy —S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu provjere autentičnosti da koriste. Da biste konfigurirali eksplicitni proxy, morate unijeti sljedeće podatke na svakom čvoru:
Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy stroju.
Proxy priključak —Broj porta koji proxy koristi za slušanje proxy prometa.
Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
HTTP—Pregledava i kontrolira sve zahtjeve koje klijent šalje.
HTTPS—pruža kanal za poslužitelj. Klijent prima i potvrđuje certifikat poslužitelja.
vrsta provjere autentičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
Ništa — nije potrebna daljnja provjera autentičnosti.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Osnovni —Koristi se za HTTP korisnički agent za davanje korisničkog imena i lozinke prilikom postavljanja zahtjeva. Koristi Base64 kodiranje.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Sažetak — Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže.
Dostupno samo ako odaberete HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Primjer hibridnih čvorova za sigurnost podataka i proxyja
Ovaj dijagram prikazuje primjer veze između Hybrid Data Security, mreže i proxyja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru proxy opcija, isti korijenski certifikat mora biti instaliran na proxy i na čvorovima Hybrid Data Security.
Blokirani način razlučivanja vanjskog DNS -a (eksplicitne proxy konfiguracije)
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. U implementacijama s eksplicitnim proxy konfiguracijama koje ne dopuštaju vanjsko DNS razlučivanje za interne klijente, ako čvor ne može upitati DNS poslužitelje, automatski prelazi u način Blocked External DNS Resolution. U ovom načinu može se nastaviti registracija čvora i drugi testovi proxy povezivanja.
Zahtjevi za hibridnu sigurnost podataka
Zahtjevi za licencu Cisco Webex
Za implementaciju hibridne sigurnosti podataka:
Morate imati Pro Pack za Cisco Webex Control Hub. (Vidihttps://www.cisco.com/go/pro-pack .)
Zahtjevi za Docker Desktop
Prije nego što instalirate svoje HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša organizacija može zahtijevati plaćenu pretplatu za Docker Desktop. Za detalje pogledajte post na blogu Docker, " Docker ažurira i proširuje naše pretplate na proizvode ".
X.509 Zahtjevi certifikata
lanac certifikata mora ispunjavati sljedeće zahtjeve:
Uvjet | Pojedinosti |
|---|---|
| Prema zadanim postavkama, vjerujemo CA-ovima na Mozilla popisu (s izuzetkom WoSign i StartCom) nahttps://wiki.mozilla.org/CA:IncludedCAs . |
| CN ne mora biti dostupan niti biti domaćin uživo. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, CN ne smije sadržavati * (zamjenski znak). CN se koristi za provjeru čvorova Hybrid Data Security za klijente Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što ste registrirali čvor s ovim certifikatom, ne podržavamo promjenu naziva CN naziv domene. Odaberite domenu koja se može primijeniti i na probnu i na proizvodnu implementaciju. |
| KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija. |
| Možete koristiti pretvarač kao što je OpenSSL za promjenu formata certifikata. Morat ćete unijeti lozinku kada pokrenete HDS Setup Tool. |
KMS softver ne provodi korištenje ključa ili proširena ograničenja upotrebe ključa. Neka tijela za izdavanje certifikata zahtijevaju da se proširena ograničenja upotrebe ključa primjenjuju na svaki certifikat, kao što je provjera autentičnosti poslužitelja. U redu je koristiti provjeru autentičnosti poslužitelja ili druge postavke.
Zahtjevi virtualnog hosta
Virtualni hostovi koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru imaju sljedeće zahtjeve:
Najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar
VMware ESXi 6.5 (ili noviji) je instaliran i radi.
Morate nadograditi ako imate stariju verziju ESXi.
Najmanje 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju
Zahtjevi poslužitelja baze podataka
| Napravite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka. |
Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:
PostgreSQL | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) | Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) |
HDS softver trenutno instalira sljedeće verzije drajvera za komunikaciju s poslužitelj baze podataka:
PostgreSQL | Microsoft SQL Server |
|---|---|
Postgres JDBC drajver 42.2.5 | SQL Server JDBC upravljački program 4.6 Ova verzija upravljačkog programa podržava SQL Server Always On ( Uvijek uključene instance klastera za napuštanje greške i Grupe dostupnosti Always On ). |
Dodatni zahtjevi za Windows autentifikaciju na Microsoft SQL Serveru
Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:
HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje dajete HDS čvorovima moraju moći riješiti vaš centar za distribuciju ključeva (KDC).
Instancu baze podataka HDS možete registrirati na svom Microsoft SQL Serveru kao naziv principala usluge (SPN) na vašem Active Directory. vidi Registrirajte naziv glavne usluge za Kerberos veze .
Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za izradu SPN-a kada traže pristup s Kerberos provjerom autentičnosti.
Zahtjevi za vanjsko povezivanje
Konfigurirajte svoj vatrozid da omogući sljedeće povezivanje za HDS aplikacije:
Aplikacija | Protokol | Priključak | Smjer iz aplikacije | Odredište |
|---|---|---|---|---|
Čvorovi hibridne sigurnosti podataka | TCP | 443 | Odlazni HTTPS i WSS |
|
Alat za postavljanje HDS-a | TCP | 443 | Odlazni HTTPS |
|
| Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze na odredišta domene u prethodnoj tablici. Za veze koje ulaze u čvorove Hybrid Data Security, nikakvi portovi ne bi trebali biti vidljivi s interneta. Unutar vašeg podatkovni centar, klijenti trebaju pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe. |
URL-ovi za hostove zajedničkog identiteta (CI) su specifični za regiju. Ovo su trenutni CI hostovi:
Regija | Uobičajeni URL-ovi hosta identiteta |
|---|---|
Južna i Sjeverna Amerika |
|
Europska unija |
|
Kanada |
|
Zahtjevi proxy poslužitelja
Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim Hybrid Data Security čvorovima.
Transparentni proxy— Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Da biste zaobišli ovaj problem, pogledajte Konfigurirajte Squid proxy za hibridnu sigurnost podataka .
Podržavamo sljedeće kombinacije tipova provjere autentičnosti za eksplicitne proxy servere:
Nema provjere autentičnosti s HTTP ili HTTPS
Osnovna provjera autentičnosti s HTTP ili HTTPS
Digest autentifikacija samo s HTTPS-om
Za transparentni proxy proxy ili HTTPS eksplicitni proxy, morate imati kopiju korijenski certifikat proxyja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u skladišta povjerenja čvorova Hybrid Data Security.
Mreža koja hostira HDS čvorove mora biti konfigurirana da prisili izlazni TCP promet na portu 443 da usmjeri kroz proxy.
Proksiji koji provjeravaju web promet mogu ometati veze web utičnice. Ako se ovaj problem pojavi, zaobići (ne provjeravati) promet do
wbx2.comiciscospark.comriješit će problem.
Ispunite preduvjete za sigurnost hibridnih podataka
| 1 | Provjerite je li vaša Webex organizacija omogućena za Pro Pack za Cisco Webex Control Hub i pribavite vjerodajnice računa s punim administratorskim pravima organizacije. Obratite se svom Cisco partneru ili upravitelju računa za pomoć u ovom procesu. | ||
| 2 | Odaberite naziv domene za svoju HDS implementaciju (na primjer, | ||
| 3 | Pripremite identične virtualne hostove koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru. Potrebna su vam najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar koji ispunjavaju zahtjeve u Zahtjevi virtualnog hosta . | ||
| 4 | Pripremite poslužitelj baze podataka koji će djelovati kao ključna pohrana podataka za klaster, prema Zahtjevi poslužitelja baze podataka . Poslužitelj poslužitelj baze podataka mora biti smješten u sigurnom podatkovni centar s virtualnim hostovima. | ||
| 5 | Za brzi oporavak od katastrofe od katastrofe, postaviti okruženje za sigurnosnu kopiju u drugom podatkovni centar. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-a i poslužitelj baze podataka sigurnosne kopije. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. | ||
| 6 | Postavite host syslog za prikupljanje zapisnika s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514). | ||
| 7 | Napravite sigurnosno sigurnosno kopiranje za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepopravljiv gubitak podataka, morate sigurnosno kopirati bazu podataka i konfiguracijsku ISO datoteku generiranu za čvorove Hybrid Data Security.
Klijenti aplikacije Webex spremaju svoje ključeve, tako da kvar možda neće biti odmah uočljiv, ali će s vremenom postati očigledan. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima o korisnicima. Od operatera čvorova Hybrid Data Security se očekuje da održavaju česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te da budu spremni za ponovnu izgradnju podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara. | ||
| 8 | Osigurajte da konfiguracija vatrozida dopušta povezivanje za vaše čvorove Hybrid Data Security kao što je navedeno Zahtjevi za vanjsko povezivanje . | ||
| 9 | Instaliraj Docker (https://www.docker.com ) na bilo kojem lokalnom računalu s podržanim OS (Microsoft Windows 10 Professional ili Enterprise 64-bit, ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Instancu Dockera koristite za preuzimanje i pokretanje alata za postavljanje HDS-a, koji gradi konfiguracijska informacija za sve čvorove Hybrid Data Security. Vaša organizacija možda treba licencu za Docker Desktop. vidi Zahtjevi za Docker Desktop za više informacija. Da biste instalirali i pokrenuli alat za postavljanje HDS-a, lokalni stroj mora imati opisanu povezanost Zahtjevi za vanjsko povezivanje . | ||
| 10 | Ako integrirate proxy s Hybrid Data Security, provjerite zadovoljava li Zahtjevi proxy poslužitelja . | ||
| 11 | Ako vaša organizacija koristi sinkronizaciju imenika, stvorite grupu u Active Directory pod nazivom
|
Tijek zadatka implementacije hibridne sigurnosti podataka
Prije početka
| 1 | Preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoj lokalni stroj za kasniju upotrebu. | ||
| 2 | Izradite konfiguracijski ISO za HDS hostove Koristite alat za postavljanje HDS-a za stvaranje ISO konfiguracijska datoteka za čvorove Hybrid Data Security. | ||
| 3 |
Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke.
| ||
| 4 | Postavite VM za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. | ||
| 5 | Prenesite i montirajte ISO konfiguraciju HDS-a Konfigurirajte VM iz ISO konfiguracijska datoteka koju ste kreirali pomoću alata za postavljanje HDS-a. | ||
| 6 | Konfigurirajte HDS čvor za proxy integraciju Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u skladište povjerenja ako je potrebno. | ||
| 7 | Registrirajte prvi čvor u klasteru Registrirajte VM u oblaku Cisco Webex kao čvor za hibridnu sigurnost podataka. | ||
| 8 | Stvorite i registrirajte više čvorova Dovršite postavljanje klastera. | ||
| 9 | Pokrenite probnu verziju i prijeđite u produkciju (sljedeće poglavlje) Dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana. |
Preuzmite instalacijske datoteke
| 1 | Prijavite se nahttps://admin.webex.com , a zatim kliknite Usluge . | ||||
| 2 | U odjeljku Hybrid Services pronađite karticu Hybrid Data Security, a zatim kliknite Postavite . Ako je kartica onemogućena ili je ne vidite, obratite se svom timu za račun ili partnerskoj organizaciji. Dajte im broj svog računa i zamolite da omogućite svoju organizaciju za sigurnost hibridnih podataka. Da biste pronašli broj računa, kliknite zupčanik u gornjem desnom kutu, pored naziva svoje organizacije.
| ||||
| 3 | Odaberite ne kako biste naznačili da još niste postaviti čvor, a zatim kliknite Dalje . OVA datoteka automatski počinje preuzimati. Spremite datoteku na mjesto na vašem računalu.
| ||||
| 4 | Po želji, kliknite Otvorite Vodič za implementaciju da provjerite postoji li dostupna novija verzija ovog vodiča. |
Izradite konfiguracijski ISO za HDS hostove
Proces postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg hosta Hybrid Data Security.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) kroz varijable Docker okruženja kada u koraku otvorite Docker spremnik 5 . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTKonfiguracijska ISO datoteka koju generirate sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. Potrebna vam je najnovija kopija ove datoteke svaki put kada izvršite promjene u konfiguraciji, poput ovih:
Vjerodajnice baze podataka
Ažuriranja certifikata
Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postaviti svoju implementaciju PostgreSQL ili SQL Server za TLS.
| 1 | U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima:
| ||||||||||||
| 2 | Da biste se prijaviti se registar Docker slika, unesite sljedeće: | ||||||||||||
| 3 | Na upit za lozinku unesite ovaj hash: | ||||||||||||
| 4 | Preuzmite najnoviju stabilnu sliku za svoje okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima: | ||||||||||||
| 5 | Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:
Kada je spremnik pokrenut, vidite "Ekspresno slušanje poslužitelja na portu 8080." | ||||||||||||
| 6 |
Upotrijebite web preglednik da idite na lokalni host, Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat tada prikazuje standardni upit za prijavu. | ||||||||||||
| 7 | Kada se to od vas zatraži, unesite svoje vjerodajnice za prijavu administratora korisničkog centra Control Hub, a zatim kliknite Prijavite se kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security. | ||||||||||||
| 8 | Na stranici Pregled alata za postavljanje kliknite Započnite . | ||||||||||||
| 9 | Na ISO uvoz stranicu, imate ove opcije:
| ||||||||||||
| 10 | Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 Zahtjevi certifikata .
| ||||||||||||
| 11 | Unesite adresu baze podataka i račun za HDS za pristup vašoj ključnoj pohrani podataka: | ||||||||||||
| 12 | Odaberite a TLS način povezivanja baze podataka :
Kada prenesete korijenski certifikat (ako je potrebno) i kliknite Nastavi , HDS Setup Tool testira TLS vezu s poslužitelj baze podataka. Alat također provjerava potpisnika certifikata i ime hosta, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o poruka o pogrešci opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s postavljanjem. (Zbog razlika u povezivanju, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je stroj alata za postavljanje HDS-a ne može uspješno testirati.) | ||||||||||||
| 13 | Na stranici System Logs, konfigurirajte svoj Syslogd poslužitelj: | ||||||||||||
| 14 | (Izborno) Možete promijeniti zadana vrijednost za neke parametre povezivanja baze podataka u Napredne postavke . Općenito, ovaj parametar je jedini koji biste možda željeli promijeniti: | ||||||||||||
| 15 | Kliknite Nastavi na Poništi lozinku za račune usluge zaslon. Lozinke računa usluge imaju vijek trajanja od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite poništiti kako biste poništili prethodne ISO datoteke. | ||||||||||||
| 16 | Kliknite Preuzmite ISO datoteku . Spremite datoteku na mjesto koje je lako pronaći. | ||||||||||||
| 17 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||||||||||||
| 18 | Da biste isključili alat za postavljanje, upišite |
Što učiniti sljedeće
Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za promjenu konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.
| Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite. |
Instalirajte HDS Host OVA
| 1 | Upotrijebite VMware vSphere klijent na svom računalu za prijavu na ESXi virtualni host. | ||||||
| 2 | Odaberite Datoteka > Postavite OVF predložak . | ||||||
| 3 | U čarobnjaku navedite mjesto OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje . | ||||||
| 4 | Na Odaberite naziv i mapu stranicu, unesite a Naziv virtualnog stroja za čvor (na primjer, "HDS_ Node_ 1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualno računalo , a zatim kliknite Dalje . | ||||||
| 5 | Na Odaberite računalni resurs stranicu, odaberite odredišni računalni resurs, a zatim kliknite Dalje . Pokreće se provjera valjanosti. Nakon što završi, pojavljuju se detalji predloška. | ||||||
| 6 | Provjerite detalje predloška, a zatim kliknite Dalje . | ||||||
| 7 | Ako se od vas traži da odaberete konfiguraciju resursa na Konfiguracija stranicu, kliknite 4 CPU a zatim kliknite Dalje . | ||||||
| 8 | Na Odaberite pohranu stranicu, kliknite Dalje za prihvaćanje zadanog formata diska i pravila pohrane VM -a. | ||||||
| 9 | Na Odaberite mreže na stranici, odaberite opciju mreže s popisa unosa kako biste pružili željenu povezanost s VM-om. | ||||||
| 10 | Na Prilagodite predložak stranicu, konfigurirajte sljedeće mrežne postavke:
Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti upute Postavite VM za hibridnu sigurnost podataka za konfiguriranje postavki s konzole čvora.
| ||||||
| 11 | Desnom tipkom miša kliknite VM čvora, a zatim odaberite . Softver Hybrid Data Security instalira se kao gost na VM Host. Sada ste spremni za prijaviti se na konzolu i konfiguriranje čvora. Savjeti za rješavanje problema Možda ćete doživjeti kašnjenje od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka bridge firewall-a pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti se. |
Postavite VM za hibridnu sigurnost podataka
Upotrijebite ovaj postupak da se prvi put prijaviti se na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.
| 1 | U VMware vSphere klijentu odaberite svoj Hybrid Data Security čvor VM i odaberite Konzola tab. VM se pokreće i pojavljuje se prompt za prijavu. Ako se prompt za prijavu ne prikaže, pritisnite Uđi .
|
| 2 | Za prijaviti se i promjenu vjerodajnica koristite sljedeću zadanu prijavu i lozinku: Budući da se prvi put prijavljujete na svoj VM , morate promijeniti lozinku administratora. |
| 3 | Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA , preskočite ostatak ovog postupka. Inače, u glavni izbornik odaberite Uredi konfiguraciju opcija. |
| 4 | Postavite statičku konfiguraciju s IP adresa, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresa i DNS naziv. DHCP nije podržan. |
| 5 | (Neobavezno) Promijenite naziv hosta, domenu ili NTP poslužitelj(e) ako je potrebno da odgovara vašim mrežnim pravilima. Ne morate postaviti domenu da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. |
| 6 | Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu. |
Prenesite i montirajte ISO konfiguraciju HDS-a
Prije početka
Budući da ISO datoteka sadrži glavni ključ, trebala bi biti izložena samo na temelju "treba znati" za pristup VM-ovima Hybrid Data Security i svim administratorima koji bi mogli unijeti promjene. Provjerite da samo ti administratori mogu pristupiti spremištu podataka.
| 1 | Prenesite ISO datoteku sa svog računala: |
| 2 | Montirajte ISO datoteku: |
Što učiniti sljedeće
Ako vaša IT politika zahtijeva, možete po želji demontirati ISO datoteku nakon što svi vaši čvorovi poprime promjene konfiguracije. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje.
Konfigurirajte HDS čvor za proxy integraciju
Ako mrežno okruženje zahtijeva proxy, upotrijebite ovaj postupak za navođenje vrste proxyja koji želite integrirati s Hybrid Data Security. Ako odaberete transparentni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instalaciju korijenski certifikat. Također možete provjeriti proxy vezu sa sučelja i riješiti sve potencijalne probleme.
Prije početka
vidi Podrška za proxy za pregled podržanih proxy opcija.
| 1 | Unesite URL za postavljanje HDS čvora |
| 2 | Idi na Trust Store & Proxy , a zatim odaberite opciju:
Slijedite sljedeće korake za transparentni proxy proxy, eksplicitni HTTP proxy s osnovnom provjerom autentičnosti ili eksplicitni HTTPS proxy. |
| 3 | Kliknite Prenesite korijenski certifikat ili certifikat krajnjeg entiteta , a zatim idite na odabir korijenski certifikat za proxy. Certifikat je učitan, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu u obliku ševrona uz naziv izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku. |
| 4 | Kliknite Provjerite proxy vezu za testiranje mrežne povezanosti između čvora i proxyja. Ako test veze ne uspije, vidjet ćete poruku o poruka o pogrešci koja pokazuje razlog i kako možete ispraviti problem. Ako vidite poruku da vanjsko DNS razlučivanje nije bilo uspješno, čvor nije mogao doći do poslužitelj za DNS. Ovaj uvjet se očekuje u mnogim eksplicitnim proxy konfiguracijama. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blocked External DNS Resolution. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način razlučivanja blokiranog vanjskog DNS -a . |
| 5 | Nakon što test veze prođe, za eksplicitni proxy postavljen samo na https, uključite prekidač na Usmjerite sve zahtjeve za port 443/444 https s ovog čvora kroz eksplicitni proxy . Ova postavka zahtijeva 15 sekundi da stupi na snagu. |
| 6 | Kliknite Instalirajte sve certifikate u Trust Store (pojavljuje se za eksplicitni HTTPS proxy ili transparentni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za eksplicitni HTTP proxy), pročitajte upit, a zatim kliknite Instalirajte ako ste spremni. Čvor se ponovno pokreće u roku od nekoliko minuta. |
| 7 | Nakon što se čvor ponovno pokrene, ponovno se prijaviti se ako je potrebno, a zatim otvorite Pregled stranicu za provjeru provjera povezivanja kako biste bili sigurni da su sve u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s vezom, uobičajen je problem da su neke od domena oblaka navedene u uputama za instalaciju blokirane na proxyju. |
Registrirajte prvi čvor u klasteru
Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova koji su raspoređeni kako bi osigurali redundantnost.
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Prijavite se na https://admin.webex.com. |
| 2 | Na izborniku na lijevoj strani zaslona odaberite Usluge . |
| 3 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavite . Pojavljuje se stranica Registriraj hibridni sigurnosni čvor.
|
| 4 | Odaberite da da označite da ste postaviti čvor i da ste spremni za registraciju, a zatim kliknite Dalje . |
| 5 | U prvo polje unesite naziv za klaster kojem želite dodijeliti svoj Hybrid Data Security čvor. Preporučujemo da imenujete klaster na temelju toga gdje se čvorovi klastera geografski nalaze. Primjeri: "San Francisco" ili "New York" ili "Dallas" |
| 6 | U drugo polje unesite internu IP adresa ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Dalje . Ova IP adresa ili FQDN bi se trebali podudarati s IP adresa ili imenom hosta i domenom na kojoj ste se koristili Postavite VM za hibridnu sigurnost podataka . Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
|
| 7 | Kliknite Idite na Node . |
| 8 | Kliknite Nastavi u poruka upozorenja. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup sigurnosnom čvoru hibridnih podataka. Tu potvrđujete da želite svojoj Webex organizaciji dati dopuštenja za pristup vašem čvoru.
|
| 9 | Provjerite Dopustite pristup vašem hibridnom sigurnosnom čvoru podataka potvrdni okvir, a zatim kliknite Nastavi . Vaš je račun potvrđen i poruka "Registracija je dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
|
| 10 | Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Control Hub Hybrid Data Security. Na Hibridna sigurnost podataka stranici, prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.
|
Stvorite i registrirajte više čvorova
| U ovom trenutku, sigurnosne kopije VM-a u kojima ste kreirali Ispunite preduvjete za sigurnost hibridnih podataka su standby hostovi koji se koriste samo u slučaju oporavka od oporavak od katastrofe; do tada nisu registrirani u sustavu. Za detalje pogledajte Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja . |
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Izradite novi virtualno računalo iz OVA, ponavljajući korake u Instalirajte HDS Host OVA . |
| 2 | Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u Postavite VM za hibridnu sigurnost podataka . |
| 3 | Na novom VM-u ponovite korake u Prenesite i montirajte ISO konfiguraciju HDS-a . |
| 4 | Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za proxy integraciju prema potrebi za novi čvor. |
| 5 | Registrirajte čvor. Vaš čvor je registriran. Imajte na umu da dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana.
|
Što učiniti sljedeće
Tijek zadatka od probnog do proizvodnog
Nakon što postaviti hibridni klaster sigurnosti podataka, možete pokrenuti pilot, dodati mu korisnike i početi ga koristiti za testiranje i provjeru svoje implementacije u pripremi za prelazak na proizvodnju.
Prije početka
| 1 | Ako je primjenjivo, sinkronizirajte Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati |
| 2 |
Započnite probu. Dok ne izvršite ovaj zadatak, vaši čvorovi generiraju alarm koji pokazuje da usluga još nije aktivirana. |
| 3 | Testirajte svoju implementaciju sigurnosti hibridnih podataka Provjerite prolaze li ključni zahtjevi vašoj implementaciji Hybrid Data Security. |
| 4 | Pratite zdravlje hibridne sigurnosti podataka Provjerite status i postaviti obavijesti e-poštom za alarme. |
| 5 | |
| 6 | Dovršite probnu fazu jednom od sljedećih radnji: |
Aktivirajte probnu verziju
Prije početka
Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati HdsTrialGroup grupni objekt za sinkronizaciju s oblakom prije nego što možete pokrenuti probnu verziju za svoju organizaciju. Za upute pogledajte Vodič za implementaciju za Cisco Directory Connector.
| 1 | Prijavite se nahttps://admin.webex.com , a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Započni suđenje . Status usluge mijenja se u probni način.
|
| 4 | Kliknite Dodajte korisnike i unesite adresa e-pošte jednog ili više korisnika za pilotiranje korištenjem vaših Hybrid Data Security čvorova za usluge šifriranja i indeksiranja. (Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory za upravljanje probnom grupom, |
Testirajte svoju implementaciju sigurnosti hibridnih podataka
Prije početka
Postavite svoju implementaciju Hybrid Data Security.
Aktivirajte probnu verziju i dodajte nekoliko probnih korisnika.
Osigurajte da imate pristup syslogu kako biste provjerili prosljeđuju li ključni zahtjevi vašoj Hybrid Data Security implementaciji.
| 1 | Ključeve za dati prostor postavlja kreator prostora. Prijavite se u aplikaciju Webex kao jedan od pilot korisnika, a zatim stvorite prostor i pozovite barem jednog pilot korisnika i jednog korisnika koji nije pilot.
| ||
| 2 | Šaljite poruke u novi prostor. | ||
| 3 | Provjerite izlaz syslog kako biste potvrdili da se zahtjevi za ključeve prosljeđuju vašoj Hybrid Data Security implementaciji. |
Pratite zdravlje hibridne sigurnosti podataka
| 1 | u Kontrolno čvorište , odaberite Usluge iz izbornika na lijevoj strani zaslona. |
| 2 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavke . Pojavljuje se stranica Postavke sigurnosti hibridnih podataka.
|
| 3 | U odjeljku Obavijesti e-pošta -poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Uđi . |
Dodajte ili uklonite korisnike iz svoje probne verzije
Ako uklonite korisnika iz probne verzije, korisnikov klijent će zatražiti ključeve i izradu ključeva iz KMS-a u oblaku umjesto vašeg KMS-a. Ako klijent treba ključ koji je pohranjen na vašem KMS-u, KMS u oblaku će ga dohvatiti u ime korisnika.
Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory (umjesto ovog postupka) za upravljanje probnom grupom, HdsTrialGroup; možete vidjeti članove grupe u Control Hubu, ali ih ne možete dodati ili ukloniti.
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Probni način rada u području Status usluge kliknite Dodajte korisnike , ili kliknite pregledati i urediti za uklanjanje korisnika iz probe. |
| 4 | Unesite adresa e-pošte jednog ili više korisnika za dodavanje ili kliknite na X pomoću ID korisnika-a za uklanjanje korisnika iz probe. Zatim kliknite Spremi . |
Prijeđite s probnog na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Prijeđite u produkciju . |
| 4 | Potvrdite da sve svoje korisnike želite premjestiti u produkciju. |
Završite probno razdoblje bez prelaska na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Deaktiviraj kliknite Deaktiviraj . |
| 4 | Potvrdite da želite deaktivirati uslugu i završiti probno razdoblje. |
Upravljajte HDS implementacijom
Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.
Postavite raspored nadogradnje klastera
Za postavljanje rasporeda nadogradnje:
| 1 | Prijavite se na Kontrolno čvorište . |
| 2 | Na stranici Pregled u odjeljku Hibridne usluge odaberite Hibridna sigurnost podataka . |
| 3 | Na stranici Resursi za sigurnost hibridnih podataka odaberite klaster. |
| 4 | Na ploči Pregled s desne strane, u odjeljku Postavke klastera, odaberite naziv klastera. |
| 5 | Na stranici Postavke, u odjeljku Nadogradnja, odaberite vrijeme i vremenska zona za raspored nadogradnje. Napomena: Ispod vremenska zona prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Ako je potrebno, nadogradnju možete odgoditi za sljedeći dan klikom Odgoditi . |
Promijenite konfiguraciju čvora
Promjena x.509 certifikata zbog isteka ili drugih razloga.
Ne podržavamo promjenu naziva CN naziv domene certifikata. Domena mora odgovarati izvornoj domeni korištenoj za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku baze podataka PostgreSQL ili Microsoft SQL Server.
Ne podržavamo migraciju podataka s PostgreSQL na Microsoft SQL Server ili obrnuto. Za promjenu okruženja baze podataka pokrenite novu implementaciju Hybrid Data Security.
Izrada nove konfiguracije za pripremu novog podatkovni centar.
Također, iz sigurnosnih razloga, Hybrid Data Security koristi lozinke račun usluge koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira ove lozinke, postavljate ih na svaki od vaših HDS čvorova u ISO konfiguracijskoj datoteci. Kada se lozinke vaše organizacije bliže isteku, od Webex tima ćete primiti obavijest da poništite lozinku za račun vašeg računala. (E-poruka uključuje tekst "Koristite API računa računala za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam nudi dvije mogućnosti:
Soft reset — Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset —Stare lozinke odmah prestaju raditi.
Ako vaše lozinke istječu bez resetiranja, to utječe na vašu HDS uslugu, zahtijevajući trenutno hard reset i zamjenu ISO datoteke na svim čvorovima.
Koristite ovaj postupak za generiranje nove konfiguracijske ISO datoteke i primjenu na svoj klaster.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem varijabli Docker okruženja kada pokrenete Docker spremnik u 1.e . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTZa generiranje nove konfiguracije potrebna vam je kopija ISO datoteke trenutne konfiguracije. ISO sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.
| 1 | Koristeći Docker na lokalnom računalu, pokrenite alat za postavljanje HDS-a.
| ||||||
| 2 | Ako imate pokrenut samo jedan HDS čvor , stvorite novi VM čvora Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Za detaljnije upute pogledajte Stvorite i registrirajte više čvorova . | ||||||
| 3 | Za postojeće HDS čvorove koji pokreću stariju konfiguracijska datoteka, montirajte ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: | ||||||
| 4 | Ponovite korak 3 da zamijenite konfiguraciju na svakom preostalom čvoru koji izvodi staru konfiguraciju. |
Isključite način razlučivanja blokiranog vanjskog DNS -a
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. Ako poslužitelj za DNS čvora ne može razriješiti javna DNS imena, čvor automatski prelazi u način Blocked External DNS Resolution.
Ako vaši čvorovi mogu razriješiti javna DNS imena putem internih DNS poslužitelja, možete isključiti ovaj način ponovnim pokretanjem testa proxy veze na svakom čvoru.
Prije početka
| 1 | U web-pregledniku otvorite sučelje čvora Hybrid Data Security (IP adresa/postavka, na primjer,https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postaviti za čvor, a zatim kliknite Prijavite se . |
| 2 | Idi na Pregled (zadana stranica). Kada je omogućeno, Blokirana razlučivost vanjskog DNS -a je postavljeno na da . |
| 3 | Idite na Trust Store & Proxy stranica. |
| 4 | Kliknite Provjerite proxy vezu . Ako vidite poruku koja kaže da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do poslužitelj za DNS i ostat će u ovom načinu rada. U suprotnom, nakon što ponovno pokrenete čvor i vratite se na Pregled stranicu, razlučivost blokiranog vanjskog DNS -a treba postaviti na br. |
Što učiniti sljedeće
Uklonite čvor
| 1 | Upotrijebite VMware vSphere klijent na svom računalu da se prijavite na ESXi virtualni host i isključite virtualno računalo. |
| 2 | Uklonite čvor: |
| 3 | U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu, desni klik VM i kliknite Izbriši .) Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup vašim sigurnosnim podacima. |
Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja
Najkritičnija usluga koju pruža vaš hibridni klaster zaštite podataka je izrada i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, zahtjevi za kreiranje novih ključeva preusmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima koji su ovlašteni da ih dohvate, na primjer, članovima prostora za razgovor.
Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, imperativ je da klaster i dalje radi i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO -a koji se koristi za shemu rezultirat će NENAKONOVIM GUBITKOM sadržaja korisnika. Sljedeće prakse su obavezne kako bi se spriječio takav gubitak:
Ako katastrofa prouzrokuje da HDS implementacija u primarnom podatkovni centar postane nedostupna, slijedite ovaj postupak za ručni prijelaz u pričuvni podatkovni centar.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove . | ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranicu, dodajte konfiguraciju u nastavku ili uklonite
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
(Izborno) Isključite ISO nakon HDS konfiguracije
Standardna HDS konfiguracija radi s montiranim ISO . No, neki korisnici više vole ne ostavljati ISO datoteke kontinuirano montirane. Možete isključiti ISO datoteku nakon što svi HDS čvorovi pokupe novu konfiguraciju.
I dalje koristite ISO datoteke za promjenu konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, možete ponovno demontirati ISO ovim postupkom.
Prije početka
Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.
| 1 | Isključite jedan od svojih HDS čvorova. |
| 2 | U vCenter poslužiteljskom uređaju odaberite HDS čvor. |
| 3 | Odaberite i poništite odabir ISO datoteka skladišta podataka . |
| 4 | Uključite HDS čvor i osigurajte da nema alarma najmanje 20 minuta. |
| 5 | Ponovite redom za svaki HDS čvor. |
Pregledajte upozorenja i rješavanje problema
Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi tako sporo da zahtijeva vremensko ograničenje. Ako korisnici ne mogu doći do vašeg hibridnog sigurnosnog klastera podataka, doživljavaju sljedeće simptome:
Ne mogu se stvoriti novi prostori (nije moguće stvoriti nove ključeve)
Poruke i naslovi prostora ne mogu se dešifrirati za:
Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje
Važno je da pravilno nadzirete svoj hibridni klaster sigurnosti podataka i odmah se obratite svim upozorenjima kako biste izbjegli prekid usluge.
Upozorenja
Ako postoji problem s postavkom Hybrid Data Security, Control Hub prikazuje upozorenja organizacijskom administratoru i šalje e-poštu na konfiguriranu adresa e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.
Upozorenje | Radnja |
|---|---|
Neuspjeh pristupa lokalnoj bazi podataka. |
Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom. |
neuspjelo povezivanje s lokalnom bazom podataka. |
Provjerite je li poslužitelj baze podataka dostupan i da su ispravne vjerodajnice račun usluge korištene u konfiguraciji čvora. |
Neuspjeh pristupa usluzi u oblaku. |
Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje . |
Obnavljanje registracije usluge u oblaku. |
Odustala je registracija na usluge u oblaku. Obnova registracije je u tijeku. |
Registracija usluge u oblaku je pala. |
Registracija na usluge u oblaku je prekinuta. Usluga se gasi. |
Usluga još nije aktivirana. |
Aktivirajte probnu verziju ili dovršite premještanje probe u produkciju. |
Konfigurirana domena ne odgovara certifikat poslužitelja. |
Provjerite odgovara li certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja. |
Provjera autentičnosti na uslugama u oblaku nije uspjela. |
Provjerite točnost i mogući istek vjerodajnica račun usluge . |
Otvaranje datoteke lokalnog spremišta ključeva nije uspjelo. |
Provjerite integritet i točnost lozinke u datoteci lokalnog spremišta ključeva. |
certifikat poslužitelja nije važeći. |
Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdalo pouzdano tijelo za izdavač certifikata. |
Nije moguće objaviti mjerne podatke. |
Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku. |
/media/configdrive/hds direktorij ne postoji. |
Provjerite konfiguraciju ISO montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i da li se uspješno montira. |
Rješavanje problema sa sigurnošću hibridnih podataka
| 1 | Pregledajte Control Hub za sva upozorenja i popravite sve stavke koje tamo pronađete. |
| 2 | Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije Hybrid Data Security. |
| 3 | Kontaktirajte Ciscova podrška . |
Poznati problemi za sigurnost hibridnih podataka
Ako zatvorite svoj hibridni klaster za sigurnost podataka (brisanjem u Control Hubu ili isključivanjem svih čvorova), izgubite konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka pohrane ključeva, korisnici vaše Webex aplikacije više ne mogu koristiti prostore pod svojim osobama popis stvorenih ključevima iz vašeg KMS-a. To se odnosi i na probnu i na proizvodnu implementaciju. Trenutačno nemamo rješenje ili rješenje za ovaj problem i pozivamo vas da ne gasite svoje HDS usluge nakon što obrađuju aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu neko vrijeme (vjerojatno jedan sat). Kada korisnik postane član probnog razdoblja Hybrid Data Security, korisnikov klijent nastavlja koristiti postojeću ECDH vezu dok ne istekne. Alternativno, korisnik se može odjaviti se i ponovno prijaviti u aplikaciju Webex App kako bi ažurirao lokaciju koju aplikacija kontaktira za ključeve za šifriranje.
Isto se ponašanje događa kada premjestite probnu verziju u produkciju za organizaciju. Svi neprobni korisnici s postojećim ECDH vezama s prethodnim uslugama sigurnosti podataka nastavit će koristiti te usluge sve dok se ECDH veza ponovno ne pregovara (putem vremenskog ograničenja ili odjavom i ponovnom prijavom).
Koristite OpenSSL za generiranje PKCS12 datoteke
Prije početka
OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja ispunjava zahtjeve certifikata X.509 u X.509 Zahtjevi certifikata . Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. vidihttps://www.openssl.org za softver i dokumentaciju.
Napravite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od vašeg izdavatelja izdavač certifikata (CA).
| 1 | Kada od CA primite certifikat poslužitelja , spremite ga kao |
| 2 | Prikažite certifikat kao tekst i provjerite pojedinosti.
|
| 3 | Koristite uređivač teksta za stvaranje datoteke paketa certifikata pod nazivom
|
| 4 | Napravite .p12 datoteku s prijateljskim imenom
|
| 5 | Provjerite pojedinosti certifikat poslužitelja . |
Što učiniti sljedeće
Vratite se na Ispunite preduvjete za sigurnost hibridnih podataka . Koristit ćete se hdsnode.p12 datoteku i lozinku koju ste za nju postavili u Izradite konfiguracijski ISO za HDS hostove .
| Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada izvorni certifikat istekne. |
Promet između HDS čvorova i oblaka
Odlazni promet prikupljanja mjernih podataka
Čvorovi Hybrid Data Security šalju određene metrike u Webex oblak. To uključuje metriku sustava za maksimalnu količinu hrpe, iskorištenu hrpu, opterećenje CPU -a i broj niti; metrike na sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag enkripcijskih veza, kašnjenje ili duljinu reda zahtjeva; metrika na pohrani podataka; i metriku enkripcije veze. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.
Ulazni promet
Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:
Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora
Konfigurirajte Squid proxy za hibridnu sigurnost podataka
Websocket se ne može povezati putem Squid proxyja
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa ( wss:) veze koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida koje se ignoriraju wss: prometa za pravilan rad usluga.
Lignje 4 i 5
Dodajte on_unsupported_protocol direktiva za squid.conf:
on_unsupported_protocol tunnel allLignje 3.5.27
Uspješno smo testirali hibridnu sigurnost podataka uz dodana sljedeća pravila squid.conf. Ova pravila podložna su promjeni kako razvijamo značajke i ažuriramo Webex oblak.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNove i promijenjene informacije
Datum | Promjene napravljene | ||
|---|---|---|---|
20. listopada 2023 |
| ||
07. kolovoza 2023 |
| ||
23. svibnja 2023 |
| ||
06. prosinca 2022 |
| ||
23. studenog 2022 |
| ||
13. listopada 2021 | Docker Desktop mora pokrenuti program za postavljanje prije nego što možete instalirati HDS čvorove. vidi Zahtjevi za Docker Desktop . | ||
24. lipnja 2021 | Primijetili smo da možete ponovno upotrijebiti datoteku privatnog ključa i CSR da biste zatražili drugi certifikat. vidi Koristite OpenSSL za generiranje PKCS12 datoteke za detalje. | ||
| 30. travnja 2021. | Promijenjen je zahtjev VM -a za lokalni prostor na tvrdom disku na 30 GB. vidi Zahtjevi virtualnog hosta za detalje. | ||
24. veljače 2021 | HDS Setup Tool sada može raditi iza proxyja. vidi Izradite konfiguracijski ISO za HDS hostove za detalje. | ||
2. veljače 2021 | HDS sada može raditi bez montirane ISO datoteke. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje. | ||
11. siječnja 2021 | Dodane su informacije o alatu za postavljanje HDS-a i proxyjima Izradite konfiguracijski ISO za HDS hostove . | ||
13. listopada 2020 | Ažurirano Preuzmite instalacijske datoteke . | ||
8. listopada 2020. | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s naredbama za FedRAMP okruženja. | ||
14. kolovoza 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s promjenama u procesu prijave. | ||
5. kolovoza 2020 | Ažurirano Testirajte svoju implementaciju sigurnosti hibridnih podataka za promjene u porukama dnevnika. Ažurirano Zahtjevi virtualnog hosta za uklanjanje maksimalni broj hostova. | ||
16. lipnja 2020 | Ažurirano Uklonite čvor za promjene u korisničkom sučelju Control Hub. | ||
4. lipnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove za promjene u naprednim postavkama koje biste mogli postaviti. | ||
29. svibnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove kako bismo pokazali da također možete koristiti TLS s bazama podataka SQL Servera, promjenama korisničkog sučelja i drugim pojašnjenjima. | ||
5. svibnja 2020 | Ažurirano Zahtjevi virtualnog hosta prikazati novi zahtjev ESXi 6.5. | ||
21. travnja 2020 | Ažurirano Zahtjevi za vanjsko povezivanje s novim domaćinima Americas CI. | ||
1. travnja 2020. | Ažurirano Zahtjevi za vanjsko povezivanje s informacijama o regionalnim CI domaćinima. | ||
| 20. veljače 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove s informacijama o novom opcionalnom zaslonu naprednih postavki u alatu za postavljanje HDS-a. | ||
| 4. veljače 2020 | Ažurirano Zahtjevi proxy poslužitelja . | ||
| 16. prosinca 2019. | Pojašnjen je zahtjev za rad u načinu razlučivanja blokiranog vanjskog DNS -a Zahtjevi proxy poslužitelja . | ||
| 19. studenog 2019 | Dodane su informacije o načinu razlučivanja blokiranog vanjskog DNS -a u sljedećim odjeljcima: | ||
8. studenog 2019 | Sada možete konfigurirati mrežne postavke za čvor tijekom implementacije OVA umjesto kasnije. U skladu s tim ažurirani su sljedeći odjeljci:
| ||
6. rujna 2019 | Dodan SQL Server Standard u Zahtjevi poslužitelja baze podataka . | ||
| 29. kolovoza 2019. | Dodano Konfigurirajte Squid proxy za hibridnu sigurnost podataka dodatak sa uputama za konfiguriranje Squid proxyja za zanemarivanje prometa websocketa radi ispravnog rada. | ||
| 20. kolovoza 2019 | Dodani i ažurirani odjeljci koji pokrivaju podršku proxyja za komunikacije čvora Hybrid Data Security u oblaku Webex . Da biste pristupili samo sadržaju podrške za proxy za postojeću implementaciju, pogledajte Proxy podrška za hibridnu sigurnost podataka i Webex Video Mesh članak pomoći. | ||
| 13. lipnja 2019 | Ažurirano Tijek zadatka od probnog do proizvodnog s podsjetnikom za sinkronizaciju HdsTrialGroup grupni objekt prije početka probnog postupka ako vaša organizacija koristi sinkronizaciju imenika. | ||
| 6. ožujka 2019 |
| ||
| 28. veljače 2019. |
| ||
| 26. veljače 2019. |
| ||
24. siječnja 2019 |
| ||
| 5. studenog 2018 |
| ||
| 19. listopada 2018 |
| ||
31. srpnja 2018 |
| ||
| 21. svibnja 2018. | Promijenjena terminologija koja odražava rebranding Cisco Spark:
| ||
| 11. travnja 2018 |
| ||
| 22. veljače 2018 |
| ||
| 15. veljače 2018. |
| ||
| 18. siječnja 2018. |
| ||
2. studenog 2017 |
| ||
18. kolovoza 2017 | Prvi put objavljeno |
Pregled sigurnosti hibridnih podataka
Od prvog dana sigurnost podataka je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.
Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom području sigurnosti. Hybrid Data Security premješta KMS i druge sigurnosne funkcije u vaš podaci poduzeća centar, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.
Arhitektura sigurnosnog područja
Webex arhitektura oblaka odvaja različite vrste usluga u zasebne domene ili domene povjerenja, kao što je prikazano u nastavku.
Da bismo bolje razumjeli sigurnost hibridnih podataka, pogledajmo najprije ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje se korisnici mogu izravno povezati s njihovim osobnim podacima kao što je adresa e-pošte, logično je i fizički odvojena od sigurnosnog područja u podatkovni centar B. Obje su zauzvrat odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj , u podatkovni centar C.
U ovom dijagramu klijent je aplikacija Webex koja se izvodi na prijenosnom računalu korisnika i provjerava autentičnost uslugom identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:
Klijent uspostavlja sigurna veza s uslugom upravljanja ključevima (KMS), a zatim zahtijeva ključ za šifriranje poruke. sigurna veza koristi ECDH, a KMS šifrira ključ pomoću AES-256 glavnog ključa.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka je pohranjena u području pohrane.
Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovom području.
Suradnja s drugim organizacijama
Korisnici u vašoj organizaciji mogu redovito koristiti aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak kroz zasebni ECDH kanal kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.
KMS usluga koja radi na organizaciji A provjerava valjanost veza s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. vidi Pripremite svoje okruženje za pojedinosti o generiranju x.509 certifikata za korištenje s vašom Hybrid Data Security implementacijom.
Očekivanja za implementaciju hibridne sigurnosti podataka
Implementacija Hybrid Data Security zahtijeva značajnu predanost korisnika i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.
Za implementaciju Hybrid Data Security morate osigurati:
Siguran podatkovni centar u zemlji koja je podržano mjesto za planove Cisco Webex Teams .
Oprema, softver i pristup mreži opisani u Pripremite svoje okruženje .
Potpuni gubitak bilo ISO konfiguracije koju ste izgradili za Hybrid Data Security ili baze podataka koju ste dali rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex . Ako se to dogodi, možete napraviti novu implementaciju, ali će biti vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:
Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO konfiguracije.
Budite spremni izvesti brzi oporavak od katastrofe od katastrofe ako se dogodi katastrofa, kao što je kvar diska baze podataka ili katastrofa podatkovni centar .
| Ne postoji mehanizam za premještanje ključeva natrag u oblak nakon implementacije HDS-a. |
Proces postavljanja na visokoj razini
Ovaj dokument pokriva postavljanje i upravljanje Hybrid Data Security implementacijom:
Postavite hibridnu sigurnost podataka —To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, testiranje vaše implementacije s podskupom korisnika u probnom načinu rada i, nakon što je testiranje završeno, prelazak na proizvodnju. To pretvara cijelu organizaciju da koristi vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.
Faze postavljanja, ispitivanja i proizvodnje detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju Hybrid Data Security — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku razine jedan za ovu implementaciju i angažirati Ciscova podrška prema potrebi. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Control Hubu.
Razumjeti uobičajena upozorenja, korake za rješavanje problema i poznate probleme —Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Security, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći da utvrdite i riješite problem.
Model implementacije hibridne sigurnosti podataka
Unutar vašeg podaci poduzeća centra postavljate Hybrid Data Security kao jedan klaster čvorova na zasebnim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih webutičnica i sigurnog HTTP-a.
Tijekom procesa instalacije dajemo vam OVA datoteku za postaviti virtualnog uređaja na VM-ovima koje ste dali. Koristite alat za postavljanje HDS-a za stvaranje ISO datoteke prilagođene konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš osigurani Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Podatke o Syslogd-u i vezi s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)
Minimalni broj čvorova koji možete imati u klasteru je dva. Preporučujemo najmanje tri, a možete imati i do pet. Posjedovanje više čvorova osigurava da usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. ( Webex oblak nadograđuje samo jedan po jedan čvor.)
Svi čvorovi u klasteru pristupaju istoj pohrani ključeva i bilježe aktivnost na istom poslužitelju syslog. Sami čvorovi su bez državljanstva i rješavaju ključne zahtjeve na kružni način, prema uputama oblaka.
Čvorovi postaju aktivni kada ih registrirate u Control Hubu. Da biste isključili pojedini čvor iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.
Podržavamo samo jedan klaster po organizaciji.
Probni način sigurnosti hibridnih podataka
Nakon postavljanja implementacije Hybrid Data Security, prvo je isprobate s skupom pilot korisnika. Tijekom probnog razdoblja, ti korisnici koriste vašu lokalnu domenu Hybrid Data Security za ključeve za šifriranje i druge usluge sigurnosnog područja. Vaši drugi korisnici nastavljaju koristiti područje sigurnosti u oblaku.
Ako odlučite ne nastaviti s implementacijom tijekom probnog razdoblja i deaktivirati uslugu, pilot korisnici i svi korisnici s kojima su stupili u interakciju stvaranjem novih prostora tijekom probnog razdoblja izgubit će pristup porukama i sadržaju. Vidjet će "Ovu poruku nije moguće dešifrirati" u aplikaciji Webex .
Ako ste zadovoljni da vaša implementacija dobro funkcionira za probne korisnike i spremni ste proširiti Hybrid Data Security na sve svoje korisnike, premjestite implementaciju u produkciju. Korisnici pilota i dalje imaju pristup ključevima koji su bili u upotrebi tijekom probnog razdoblja. Međutim, ne možete se kretati naprijed-natrag između proizvodnog načina i izvorne probne verzije. Ako morate deaktivirati uslugu, kao što je izvođenje oporavak od katastrofe od katastrofe, kada ponovno aktivirate, morate pokrenuti novu probnu verziju i postaviti skup pilot korisnika za novo probno razdoblje prije nego što se vratite u proizvodni način rada. Hoće li korisnici zadržati pristup podacima u ovom trenutku ovisi o tome jeste li uspješno održavali sigurnosne kopije pohrana podataka i ISO konfiguracijska datoteka za čvorove Hybrid Data Security u vašem klasteru.
Podatkovni centar u stanju pripravnosti za oporavak od katastrofe
Tijekom implementacije postaviti sigurni podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovni centar , možete ručno ne uspjeti svoju implementaciju u podatkovni centar u stanju pripravnosti.
Baze podataka aktivnih i pričuvnih podatkovnih centara međusobno su sinkronizirane, što će minimizirati vrijeme potrebno za izvođenje prebacivanja. ISO datoteka podatkovni centar u stanju čekanja ažurira se dodatnim konfiguracijama koje osiguravaju da su čvorovi registrirani u organizaciji, ali neće upravljati prometom. Stoga čvorovi podatkovni centar u stanju čekanja uvijek ostaju ažurirani s najnovijom verzijom HDS softvera.
| Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovni centar kao i aktivni poslužitelj baze podataka. |
Postavite podatkovni centar u stanju čekanja za oporavak od katastrofe
Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovni centar u stanju čekanja:
Prije početka
podatkovni centar u stanju čekanja trebao bi odražavati proizvodno okruženje VM-a i sigurnosnu kopiju baze podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. (Vidi Podatkovni centar u stanju pripravnosti za oporavak od katastrofe za pregled ovog modela prelaska na kvar.)
Provjerite je li sinkronizacija baze podataka omogućena između baze podataka aktivnih i pasivnih čvorova klastera.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove .
| ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranici, dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom.
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
Nakon konfiguriranja passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez passiveMode konfiguraciju i spremite je na sigurno mjesto. Ova kopija ISO datoteke bez passiveMode konfigurirano može pomoći u brzom procesu prelaska na kvar tijekom oporavak od katastrofe od katastrofe. vidi Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja za detaljan postupak prelaska na grešku.
Podrška za proxy
Hibridna sigurnost podataka podržava eksplicitne, transparentne proxy i neinspekciju proxyja. Ove proxy servere možete povezati sa svojom implementacijom tako da možete osigurati i pratiti promet iz poduzeća u oblak. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru ukupnog statusa povezivanja nakon što postaviti proxy na čvorove.
Čvorovi Hybrid Data Security podržavaju sljedeće proxy opcije:
Nema proxyja —Zadana postavka ako ne koristite konfiguraciju HDS čvora Trust Store & Proxy za integraciju proxyja. Nije potrebno ažuriranje certifikata.
Transparentni proxy bez inspekcije — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata.
Transparentno tuneliranje ili proxy za inspekciju — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj . Na čvorovima nisu potrebne promjene konfiguracije HTTP ili HTTPS. Međutim, čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. Proxy proxy obično koristi IT za provođenje pravila o tome koja web-mjesta mogu biti posjećena i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy —S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu provjere autentičnosti da koriste. Da biste konfigurirali eksplicitni proxy, morate unijeti sljedeće podatke na svakom čvoru:
Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy stroju.
Proxy priključak —Broj porta koji proxy koristi za slušanje proxy prometa.
Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
HTTP—Pregledava i kontrolira sve zahtjeve koje klijent šalje.
HTTPS—pruža kanal za poslužitelj. Klijent prima i potvrđuje certifikat poslužitelja.
vrsta provjere autentičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
Ništa — nije potrebna daljnja provjera autentičnosti.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Osnovni —Koristi se za HTTP korisnički agent za davanje korisničkog imena i lozinke prilikom postavljanja zahtjeva. Koristi Base64 kodiranje.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Sažetak — Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže.
Dostupno samo ako odaberete HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Primjer hibridnih čvorova za sigurnost podataka i proxyja
Ovaj dijagram prikazuje primjer veze između Hybrid Data Security, mreže i proxyja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru proxy opcija, isti korijenski certifikat mora biti instaliran na proxy i na čvorovima Hybrid Data Security.
Blokirani način razlučivanja vanjskog DNS -a (eksplicitne proxy konfiguracije)
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. U implementacijama s eksplicitnim proxy konfiguracijama koje ne dopuštaju vanjsko DNS razlučivanje za interne klijente, ako čvor ne može upitati DNS poslužitelje, automatski prelazi u način Blocked External DNS Resolution. U ovom načinu može se nastaviti registracija čvora i drugi testovi proxy povezivanja.
Zahtjevi za hibridnu sigurnost podataka
Zahtjevi za licencu Cisco Webex
Za implementaciju hibridne sigurnosti podataka:
Morate imati Pro Pack za Cisco Webex Control Hub. (Vidihttps://www.cisco.com/go/pro-pack .)
Zahtjevi za Docker Desktop
Prije nego što instalirate svoje HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša organizacija može zahtijevati plaćenu pretplatu za Docker Desktop. Za detalje pogledajte post na blogu Docker, " Docker ažurira i proširuje naše pretplate na proizvode ".
X.509 Zahtjevi certifikata
lanac certifikata mora ispunjavati sljedeće zahtjeve:
Uvjet | Pojedinosti |
|---|---|
| Prema zadanim postavkama, vjerujemo CA-ovima na Mozilla popisu (s izuzetkom WoSign i StartCom) nahttps://wiki.mozilla.org/CA:IncludedCAs . |
| CN ne mora biti dostupan niti biti domaćin uživo. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, CN ne smije sadržavati * (zamjenski znak). CN se koristi za provjeru čvorova Hybrid Data Security za klijente Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što ste registrirali čvor s ovim certifikatom, ne podržavamo promjenu naziva CN naziv domene. Odaberite domenu koja se može primijeniti i na probnu i na proizvodnu implementaciju. |
| KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija. |
| Možete koristiti pretvarač kao što je OpenSSL za promjenu formata certifikata. Morat ćete unijeti lozinku kada pokrenete HDS Setup Tool. |
KMS softver ne provodi korištenje ključa ili proširena ograničenja upotrebe ključa. Neka tijela za izdavanje certifikata zahtijevaju da se proširena ograničenja upotrebe ključa primjenjuju na svaki certifikat, kao što je provjera autentičnosti poslužitelja. U redu je koristiti provjeru autentičnosti poslužitelja ili druge postavke.
Zahtjevi virtualnog hosta
Virtualni hostovi koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru imaju sljedeće zahtjeve:
Najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar
VMware ESXi 6.5 (ili noviji) je instaliran i radi.
Morate nadograditi ako imate stariju verziju ESXi.
Najmanje 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju
Zahtjevi poslužitelja baze podataka
| Napravite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka. |
Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:
PostgreSQL | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) | Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) |
HDS softver trenutno instalira sljedeće verzije drajvera za komunikaciju s poslužitelj baze podataka:
PostgreSQL | Microsoft SQL Server |
|---|---|
Postgres JDBC drajver 42.2.5 | SQL Server JDBC upravljački program 4.6 Ova verzija upravljačkog programa podržava SQL Server Always On ( Uvijek uključene instance klastera za napuštanje greške i Grupe dostupnosti Always On ). |
Dodatni zahtjevi za Windows autentifikaciju na Microsoft SQL Serveru
Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:
HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje dajete HDS čvorovima moraju moći riješiti vaš centar za distribuciju ključeva (KDC).
Instancu baze podataka HDS možete registrirati na svom Microsoft SQL Serveru kao naziv principala usluge (SPN) na vašem Active Directory. vidi Registrirajte naziv glavne usluge za Kerberos veze .
Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za izradu SPN-a kada traže pristup s Kerberos provjerom autentičnosti.
Zahtjevi za vanjsko povezivanje
Konfigurirajte svoj vatrozid da omogući sljedeće povezivanje za HDS aplikacije:
Aplikacija | Protokol | Priključak | Smjer iz aplikacije | Odredište |
|---|---|---|---|---|
Čvorovi hibridne sigurnosti podataka | TCP | 443 | Odlazni HTTPS i WSS |
|
Alat za postavljanje HDS-a | TCP | 443 | Odlazni HTTPS |
|
| Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze na odredišta domene u prethodnoj tablici. Za veze koje ulaze u čvorove Hybrid Data Security, nikakvi portovi ne bi trebali biti vidljivi s interneta. Unutar vašeg podatkovni centar, klijenti trebaju pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe. |
URL-ovi za hostove zajedničkog identiteta (CI) su specifični za regiju. Ovo su trenutni CI hostovi:
Regija | Uobičajeni URL-ovi hosta identiteta |
|---|---|
Južna i Sjeverna Amerika |
|
Europska unija |
|
Kanada |
|
Zahtjevi proxy poslužitelja
Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim Hybrid Data Security čvorovima.
Transparentni proxy— Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Da biste zaobišli ovaj problem, pogledajte Konfigurirajte Squid proxy za hibridnu sigurnost podataka .
Podržavamo sljedeće kombinacije tipova provjere autentičnosti za eksplicitne proxy servere:
Nema provjere autentičnosti s HTTP ili HTTPS
Osnovna provjera autentičnosti s HTTP ili HTTPS
Digest autentifikacija samo s HTTPS-om
Za transparentni proxy proxy ili HTTPS eksplicitni proxy, morate imati kopiju korijenski certifikat proxyja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u skladišta povjerenja čvorova Hybrid Data Security.
Mreža koja hostira HDS čvorove mora biti konfigurirana da prisili izlazni TCP promet na portu 443 da usmjeri kroz proxy.
Proksiji koji provjeravaju web promet mogu ometati veze web utičnice. Ako se ovaj problem pojavi, zaobići (ne provjeravati) promet do
wbx2.comiciscospark.comriješit će problem.
Ispunite preduvjete za sigurnost hibridnih podataka
| 1 | Provjerite je li vaša Webex organizacija omogućena za Pro Pack za Cisco Webex Control Hub i pribavite vjerodajnice računa s punim administratorskim pravima organizacije. Obratite se svom Cisco partneru ili upravitelju računa za pomoć u ovom procesu. | ||
| 2 | Odaberite naziv domene za svoju HDS implementaciju (na primjer, | ||
| 3 | Pripremite identične virtualne hostove koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru. Potrebna su vam najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar koji ispunjavaju zahtjeve u Zahtjevi virtualnog hosta . | ||
| 4 | Pripremite poslužitelj baze podataka koji će djelovati kao ključna pohrana podataka za klaster, prema Zahtjevi poslužitelja baze podataka . Poslužitelj poslužitelj baze podataka mora biti smješten u sigurnom podatkovni centar s virtualnim hostovima. | ||
| 5 | Za brzi oporavak od katastrofe od katastrofe, postaviti okruženje za sigurnosnu kopiju u drugom podatkovni centar. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-a i poslužitelj baze podataka sigurnosne kopije. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. | ||
| 6 | Postavite host syslog za prikupljanje zapisnika s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514). | ||
| 7 | Napravite sigurnosno sigurnosno kopiranje za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepopravljiv gubitak podataka, morate sigurnosno kopirati bazu podataka i konfiguracijsku ISO datoteku generiranu za čvorove Hybrid Data Security.
Klijenti aplikacije Webex spremaju svoje ključeve, tako da kvar možda neće biti odmah uočljiv, ali će s vremenom postati očigledan. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima o korisnicima. Od operatera čvorova Hybrid Data Security se očekuje da održavaju česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te da budu spremni za ponovnu izgradnju podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara. | ||
| 8 | Osigurajte da konfiguracija vatrozida dopušta povezivanje za vaše čvorove Hybrid Data Security kao što je navedeno Zahtjevi za vanjsko povezivanje . | ||
| 9 | Instaliraj Docker (https://www.docker.com ) na bilo kojem lokalnom računalu s podržanim OS (Microsoft Windows 10 Professional ili Enterprise 64-bit, ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Instancu Dockera koristite za preuzimanje i pokretanje alata za postavljanje HDS-a, koji gradi konfiguracijska informacija za sve čvorove Hybrid Data Security. Vaša organizacija možda treba licencu za Docker Desktop. vidi Zahtjevi za Docker Desktop za više informacija. Da biste instalirali i pokrenuli alat za postavljanje HDS-a, lokalni stroj mora imati opisanu povezanost Zahtjevi za vanjsko povezivanje . | ||
| 10 | Ako integrirate proxy s Hybrid Data Security, provjerite zadovoljava li Zahtjevi proxy poslužitelja . | ||
| 11 | Ako vaša organizacija koristi sinkronizaciju imenika, stvorite grupu u Active Directory pod nazivom
|
Tijek zadatka implementacije hibridne sigurnosti podataka
Prije početka
| 1 | Preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoj lokalni stroj za kasniju upotrebu. | ||
| 2 | Izradite konfiguracijski ISO za HDS hostove Koristite alat za postavljanje HDS-a za stvaranje ISO konfiguracijska datoteka za čvorove Hybrid Data Security. | ||
| 3 |
Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke.
| ||
| 4 | Postavite VM za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. | ||
| 5 | Prenesite i montirajte ISO konfiguraciju HDS-a Konfigurirajte VM iz ISO konfiguracijska datoteka koju ste kreirali pomoću alata za postavljanje HDS-a. | ||
| 6 | Konfigurirajte HDS čvor za proxy integraciju Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u skladište povjerenja ako je potrebno. | ||
| 7 | Registrirajte prvi čvor u klasteru Registrirajte VM u oblaku Cisco Webex kao čvor za hibridnu sigurnost podataka. | ||
| 8 | Stvorite i registrirajte više čvorova Dovršite postavljanje klastera. | ||
| 9 | Pokrenite probnu verziju i prijeđite u produkciju (sljedeće poglavlje) Dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana. |
Preuzmite instalacijske datoteke
| 1 | Prijavite se nahttps://admin.webex.com , a zatim kliknite Usluge . | ||||
| 2 | U odjeljku Hybrid Services pronađite karticu Hybrid Data Security, a zatim kliknite Postavite . Ako je kartica onemogućena ili je ne vidite, obratite se svom timu za račun ili partnerskoj organizaciji. Dajte im broj svog računa i zamolite da omogućite svoju organizaciju za sigurnost hibridnih podataka. Da biste pronašli broj računa, kliknite zupčanik u gornjem desnom kutu, pored naziva svoje organizacije.
| ||||
| 3 | Odaberite ne kako biste naznačili da još niste postaviti čvor, a zatim kliknite Dalje . OVA datoteka automatski počinje preuzimati. Spremite datoteku na mjesto na vašem računalu.
| ||||
| 4 | Po želji, kliknite Otvorite Vodič za implementaciju da provjerite postoji li dostupna novija verzija ovog vodiča. |
Izradite konfiguracijski ISO za HDS hostove
Proces postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg hosta Hybrid Data Security.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) kroz varijable Docker okruženja kada u koraku otvorite Docker spremnik 5 . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTKonfiguracijska ISO datoteka koju generirate sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. Potrebna vam je najnovija kopija ove datoteke svaki put kada izvršite promjene u konfiguraciji, poput ovih:
Vjerodajnice baze podataka
Ažuriranja certifikata
Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postaviti svoju implementaciju PostgreSQL ili SQL Server za TLS.
| 1 | U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima:
| ||||||||||||
| 2 | Da biste se prijaviti se registar Docker slika, unesite sljedeće: | ||||||||||||
| 3 | Na upit za lozinku unesite ovaj hash: | ||||||||||||
| 4 | Preuzmite najnoviju stabilnu sliku za svoje okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima: | ||||||||||||
| 5 | Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:
Kada je spremnik pokrenut, vidite "Ekspresno slušanje poslužitelja na portu 8080." | ||||||||||||
| 6 |
Upotrijebite web preglednik da idite na lokalni host, Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat tada prikazuje standardni upit za prijavu. | ||||||||||||
| 7 | Kada se to od vas zatraži, unesite svoje vjerodajnice za prijavu administratora korisničkog centra Control Hub, a zatim kliknite Prijavite se kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security. | ||||||||||||
| 8 | Na stranici Pregled alata za postavljanje kliknite Započnite . | ||||||||||||
| 9 | Na ISO uvoz stranicu, imate ove opcije:
| ||||||||||||
| 10 | Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 Zahtjevi certifikata .
| ||||||||||||
| 11 | Unesite adresu baze podataka i račun za HDS za pristup vašoj ključnoj pohrani podataka: | ||||||||||||
| 12 | Odaberite a TLS način povezivanja baze podataka :
Kada prenesete korijenski certifikat (ako je potrebno) i kliknite Nastavi , HDS Setup Tool testira TLS vezu s poslužitelj baze podataka. Alat također provjerava potpisnika certifikata i ime hosta, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o poruka o pogrešci opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s postavljanjem. (Zbog razlika u povezivanju, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je stroj alata za postavljanje HDS-a ne može uspješno testirati.) | ||||||||||||
| 13 | Na stranici System Logs, konfigurirajte svoj Syslogd poslužitelj: | ||||||||||||
| 14 | (Izborno) Možete promijeniti zadana vrijednost za neke parametre povezivanja baze podataka u Napredne postavke . Općenito, ovaj parametar je jedini koji biste možda željeli promijeniti: | ||||||||||||
| 15 | Kliknite Nastavi na Poništi lozinku za račune usluge zaslon. Lozinke računa usluge imaju vijek trajanja od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite poništiti kako biste poništili prethodne ISO datoteke. | ||||||||||||
| 16 | Kliknite Preuzmite ISO datoteku . Spremite datoteku na mjesto koje je lako pronaći. | ||||||||||||
| 17 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||||||||||||
| 18 | Da biste isključili alat za postavljanje, upišite |
Što učiniti sljedeće
Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za promjenu konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.
| Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite. |
Instalirajte HDS Host OVA
| 1 | Upotrijebite VMware vSphere klijent na svom računalu za prijavu na ESXi virtualni host. | ||||||
| 2 | Odaberite Datoteka > Postavite OVF predložak . | ||||||
| 3 | U čarobnjaku navedite mjesto OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje . | ||||||
| 4 | Na Odaberite naziv i mapu stranicu, unesite a Naziv virtualnog stroja za čvor (na primjer, "HDS_ Node_ 1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualno računalo , a zatim kliknite Dalje . | ||||||
| 5 | Na Odaberite računalni resurs stranicu, odaberite odredišni računalni resurs, a zatim kliknite Dalje . Pokreće se provjera valjanosti. Nakon što završi, pojavljuju se detalji predloška. | ||||||
| 6 | Provjerite detalje predloška, a zatim kliknite Dalje . | ||||||
| 7 | Ako se od vas traži da odaberete konfiguraciju resursa na Konfiguracija stranicu, kliknite 4 CPU a zatim kliknite Dalje . | ||||||
| 8 | Na Odaberite pohranu stranicu, kliknite Dalje za prihvaćanje zadanog formata diska i pravila pohrane VM -a. | ||||||
| 9 | Na Odaberite mreže na stranici, odaberite opciju mreže s popisa unosa kako biste pružili željenu povezanost s VM-om. | ||||||
| 10 | Na Prilagodite predložak stranicu, konfigurirajte sljedeće mrežne postavke:
Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti upute Postavite VM za hibridnu sigurnost podataka za konfiguriranje postavki s konzole čvora.
| ||||||
| 11 | Desnom tipkom miša kliknite VM čvora, a zatim odaberite . Softver Hybrid Data Security instalira se kao gost na VM Host. Sada ste spremni za prijaviti se na konzolu i konfiguriranje čvora. Savjeti za rješavanje problema Možda ćete doživjeti kašnjenje od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka bridge firewall-a pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti se. |
Postavite VM za hibridnu sigurnost podataka
Upotrijebite ovaj postupak da se prvi put prijaviti se na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.
| 1 | U VMware vSphere klijentu odaberite svoj Hybrid Data Security čvor VM i odaberite Konzola tab. VM se pokreće i pojavljuje se prompt za prijavu. Ako se prompt za prijavu ne prikaže, pritisnite Uđi .
|
| 2 | Za prijaviti se i promjenu vjerodajnica koristite sljedeću zadanu prijavu i lozinku: Budući da se prvi put prijavljujete na svoj VM , morate promijeniti lozinku administratora. |
| 3 | Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA , preskočite ostatak ovog postupka. Inače, u glavni izbornik odaberite Uredi konfiguraciju opcija. |
| 4 | Postavite statičku konfiguraciju s IP adresa, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresa i DNS naziv. DHCP nije podržan. |
| 5 | (Neobavezno) Promijenite naziv hosta, domenu ili NTP poslužitelj(e) ako je potrebno da odgovara vašim mrežnim pravilima. Ne morate postaviti domenu da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. |
| 6 | Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu. |
Prenesite i montirajte ISO konfiguraciju HDS-a
Prije početka
Budući da ISO datoteka sadrži glavni ključ, trebala bi biti izložena samo na temelju "treba znati" za pristup VM-ovima Hybrid Data Security i svim administratorima koji bi mogli unijeti promjene. Provjerite da samo ti administratori mogu pristupiti spremištu podataka.
| 1 | Prenesite ISO datoteku sa svog računala: |
| 2 | Montirajte ISO datoteku: |
Što učiniti sljedeće
Ako vaša IT politika zahtijeva, možete po želji demontirati ISO datoteku nakon što svi vaši čvorovi poprime promjene konfiguracije. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje.
Konfigurirajte HDS čvor za proxy integraciju
Ako mrežno okruženje zahtijeva proxy, upotrijebite ovaj postupak za navođenje vrste proxyja koji želite integrirati s Hybrid Data Security. Ako odaberete transparentni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instalaciju korijenski certifikat. Također možete provjeriti proxy vezu sa sučelja i riješiti sve potencijalne probleme.
Prije početka
vidi Podrška za proxy za pregled podržanih proxy opcija.
| 1 | Unesite URL za postavljanje HDS čvora |
| 2 | Idi na Trust Store & Proxy , a zatim odaberite opciju:
Slijedite sljedeće korake za transparentni proxy proxy, eksplicitni HTTP proxy s osnovnom provjerom autentičnosti ili eksplicitni HTTPS proxy. |
| 3 | Kliknite Prenesite korijenski certifikat ili certifikat krajnjeg entiteta , a zatim idite na odabir korijenski certifikat za proxy. Certifikat je učitan, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu u obliku ševrona uz naziv izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku. |
| 4 | Kliknite Provjerite proxy vezu za testiranje mrežne povezanosti između čvora i proxyja. Ako test veze ne uspije, vidjet ćete poruku o poruka o pogrešci koja pokazuje razlog i kako možete ispraviti problem. Ako vidite poruku da vanjsko DNS razlučivanje nije bilo uspješno, čvor nije mogao doći do poslužitelj za DNS. Ovaj uvjet se očekuje u mnogim eksplicitnim proxy konfiguracijama. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blocked External DNS Resolution. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način razlučivanja blokiranog vanjskog DNS -a . |
| 5 | Nakon što test veze prođe, za eksplicitni proxy postavljen samo na https, uključite prekidač na Usmjerite sve zahtjeve za port 443/444 https s ovog čvora kroz eksplicitni proxy . Ova postavka zahtijeva 15 sekundi da stupi na snagu. |
| 6 | Kliknite Instalirajte sve certifikate u Trust Store (pojavljuje se za eksplicitni HTTPS proxy ili transparentni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za eksplicitni HTTP proxy), pročitajte upit, a zatim kliknite Instalirajte ako ste spremni. Čvor se ponovno pokreće u roku od nekoliko minuta. |
| 7 | Nakon što se čvor ponovno pokrene, ponovno se prijaviti se ako je potrebno, a zatim otvorite Pregled stranicu za provjeru provjera povezivanja kako biste bili sigurni da su sve u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s vezom, uobičajen je problem da su neke od domena oblaka navedene u uputama za instalaciju blokirane na proxyju. |
Registrirajte prvi čvor u klasteru
Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova koji su raspoređeni kako bi osigurali redundantnost.
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Prijavite se na https://admin.webex.com. |
| 2 | Na izborniku na lijevoj strani zaslona odaberite Usluge . |
| 3 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavite . Pojavljuje se stranica Registriraj hibridni sigurnosni čvor.
|
| 4 | Odaberite da da označite da ste postaviti čvor i da ste spremni za registraciju, a zatim kliknite Dalje . |
| 5 | U prvo polje unesite naziv za klaster kojem želite dodijeliti svoj Hybrid Data Security čvor. Preporučujemo da imenujete klaster na temelju toga gdje se čvorovi klastera geografski nalaze. Primjeri: "San Francisco" ili "New York" ili "Dallas" |
| 6 | U drugo polje unesite internu IP adresa ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Dalje . Ova IP adresa ili FQDN bi se trebali podudarati s IP adresa ili imenom hosta i domenom na kojoj ste se koristili Postavite VM za hibridnu sigurnost podataka . Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
|
| 7 | Kliknite Idite na Node . |
| 8 | Kliknite Nastavi u poruka upozorenja. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup sigurnosnom čvoru hibridnih podataka. Tu potvrđujete da želite svojoj Webex organizaciji dati dopuštenja za pristup vašem čvoru.
|
| 9 | Provjerite Dopustite pristup vašem hibridnom sigurnosnom čvoru podataka potvrdni okvir, a zatim kliknite Nastavi . Vaš je račun potvrđen i poruka "Registracija je dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
|
| 10 | Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Control Hub Hybrid Data Security. Na Hibridna sigurnost podataka stranici, prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.
|
Stvorite i registrirajte više čvorova
| U ovom trenutku, sigurnosne kopije VM-a u kojima ste kreirali Ispunite preduvjete za sigurnost hibridnih podataka su standby hostovi koji se koriste samo u slučaju oporavka od oporavak od katastrofe; do tada nisu registrirani u sustavu. Za detalje pogledajte Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja . |
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Izradite novi virtualno računalo iz OVA, ponavljajući korake u Instalirajte HDS Host OVA . |
| 2 | Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u Postavite VM za hibridnu sigurnost podataka . |
| 3 | Na novom VM-u ponovite korake u Prenesite i montirajte ISO konfiguraciju HDS-a . |
| 4 | Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za proxy integraciju prema potrebi za novi čvor. |
| 5 | Registrirajte čvor. Vaš čvor je registriran. Imajte na umu da dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana.
|
Što učiniti sljedeće
Tijek zadatka od probnog do proizvodnog
Nakon što postaviti hibridni klaster sigurnosti podataka, možete pokrenuti pilot, dodati mu korisnike i početi ga koristiti za testiranje i provjeru svoje implementacije u pripremi za prelazak na proizvodnju.
Prije početka
| 1 | Ako je primjenjivo, sinkronizirajte Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati |
| 2 |
Započnite probu. Dok ne izvršite ovaj zadatak, vaši čvorovi generiraju alarm koji pokazuje da usluga još nije aktivirana. |
| 3 | Testirajte svoju implementaciju sigurnosti hibridnih podataka Provjerite prolaze li ključni zahtjevi vašoj implementaciji Hybrid Data Security. |
| 4 | Pratite zdravlje hibridne sigurnosti podataka Provjerite status i postaviti obavijesti e-poštom za alarme. |
| 5 | |
| 6 | Dovršite probnu fazu jednom od sljedećih radnji: |
Aktivirajte probnu verziju
Prije početka
Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati HdsTrialGroup grupni objekt za sinkronizaciju s oblakom prije nego što možete pokrenuti probnu verziju za svoju organizaciju. Za upute pogledajte Vodič za implementaciju za Cisco Directory Connector.
| 1 | Prijavite se nahttps://admin.webex.com , a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Započni suđenje . Status usluge mijenja se u probni način.
|
| 4 | Kliknite Dodajte korisnike i unesite adresa e-pošte jednog ili više korisnika za pilotiranje korištenjem vaših Hybrid Data Security čvorova za usluge šifriranja i indeksiranja. (Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory za upravljanje probnom grupom, |
Testirajte svoju implementaciju sigurnosti hibridnih podataka
Prije početka
Postavite svoju implementaciju Hybrid Data Security.
Aktivirajte probnu verziju i dodajte nekoliko probnih korisnika.
Osigurajte da imate pristup syslogu kako biste provjerili prosljeđuju li ključni zahtjevi vašoj Hybrid Data Security implementaciji.
| 1 | Ključeve za dati prostor postavlja kreator prostora. Prijavite se u aplikaciju Webex kao jedan od pilot korisnika, a zatim stvorite prostor i pozovite barem jednog pilot korisnika i jednog korisnika koji nije pilot.
| ||
| 2 | Šaljite poruke u novi prostor. | ||
| 3 | Provjerite izlaz syslog kako biste potvrdili da se zahtjevi za ključeve prosljeđuju vašoj Hybrid Data Security implementaciji. |
Pratite zdravlje hibridne sigurnosti podataka
| 1 | u Kontrolno čvorište , odaberite Usluge iz izbornika na lijevoj strani zaslona. |
| 2 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavke . Pojavljuje se stranica Postavke sigurnosti hibridnih podataka.
|
| 3 | U odjeljku Obavijesti e-pošta -poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Uđi . |
Dodajte ili uklonite korisnike iz svoje probne verzije
Ako uklonite korisnika iz probne verzije, korisnikov klijent će zatražiti ključeve i izradu ključeva iz KMS-a u oblaku umjesto vašeg KMS-a. Ako klijent treba ključ koji je pohranjen na vašem KMS-u, KMS u oblaku će ga dohvatiti u ime korisnika.
Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory (umjesto ovog postupka) za upravljanje probnom grupom, HdsTrialGroup; možete vidjeti članove grupe u Control Hubu, ali ih ne možete dodati ili ukloniti.
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Probni način rada u području Status usluge kliknite Dodajte korisnike , ili kliknite pregledati i urediti za uklanjanje korisnika iz probe. |
| 4 | Unesite adresa e-pošte jednog ili više korisnika za dodavanje ili kliknite na X pomoću ID korisnika-a za uklanjanje korisnika iz probe. Zatim kliknite Spremi . |
Prijeđite s probnog na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Prijeđite u produkciju . |
| 4 | Potvrdite da sve svoje korisnike želite premjestiti u produkciju. |
Završite probno razdoblje bez prelaska na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Deaktiviraj kliknite Deaktiviraj . |
| 4 | Potvrdite da želite deaktivirati uslugu i završiti probno razdoblje. |
Upravljajte HDS implementacijom
Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.
Postavite raspored nadogradnje klastera
Za postavljanje rasporeda nadogradnje:
| 1 | Prijavite se na Kontrolno čvorište . |
| 2 | Na stranici Pregled u odjeljku Hibridne usluge odaberite Hibridna sigurnost podataka . |
| 3 | Na stranici Resursi za sigurnost hibridnih podataka odaberite klaster. |
| 4 | Na ploči Pregled s desne strane, u odjeljku Postavke klastera, odaberite naziv klastera. |
| 5 | Na stranici Postavke, u odjeljku Nadogradnja, odaberite vrijeme i vremenska zona za raspored nadogradnje. Napomena: Ispod vremenska zona prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Ako je potrebno, nadogradnju možete odgoditi za sljedeći dan klikom Odgoditi . |
Promijenite konfiguraciju čvora
Promjena x.509 certifikata zbog isteka ili drugih razloga.
Ne podržavamo promjenu naziva CN naziv domene certifikata. Domena mora odgovarati izvornoj domeni korištenoj za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku baze podataka PostgreSQL ili Microsoft SQL Server.
Ne podržavamo migraciju podataka s PostgreSQL na Microsoft SQL Server ili obrnuto. Za promjenu okruženja baze podataka pokrenite novu implementaciju Hybrid Data Security.
Izrada nove konfiguracije za pripremu novog podatkovni centar.
Također, iz sigurnosnih razloga, Hybrid Data Security koristi lozinke račun usluge koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira ove lozinke, postavljate ih na svaki od vaših HDS čvorova u ISO konfiguracijskoj datoteci. Kada se lozinke vaše organizacije bliže isteku, od Webex tima ćete primiti obavijest da poništite lozinku za račun vašeg računala. (E-poruka uključuje tekst "Koristite API računa računala za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam nudi dvije mogućnosti:
Soft reset — Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset —Stare lozinke odmah prestaju raditi.
Ako vaše lozinke istječu bez resetiranja, to utječe na vašu HDS uslugu, zahtijevajući trenutno hard reset i zamjenu ISO datoteke na svim čvorovima.
Koristite ovaj postupak za generiranje nove konfiguracijske ISO datoteke i primjenu na svoj klaster.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem varijabli Docker okruženja kada pokrenete Docker spremnik u 1.e . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTZa generiranje nove konfiguracije potrebna vam je kopija ISO datoteke trenutne konfiguracije. ISO sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.
| 1 | Koristeći Docker na lokalnom računalu, pokrenite alat za postavljanje HDS-a.
| ||||||
| 2 | Ako imate pokrenut samo jedan HDS čvor , stvorite novi VM čvora Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Za detaljnije upute pogledajte Stvorite i registrirajte više čvorova . | ||||||
| 3 | Za postojeće HDS čvorove koji pokreću stariju konfiguracijska datoteka, montirajte ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: | ||||||
| 4 | Ponovite korak 3 da zamijenite konfiguraciju na svakom preostalom čvoru koji izvodi staru konfiguraciju. |
Isključite način razlučivanja blokiranog vanjskog DNS -a
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. Ako poslužitelj za DNS čvora ne može razriješiti javna DNS imena, čvor automatski prelazi u način Blocked External DNS Resolution.
Ako vaši čvorovi mogu razriješiti javna DNS imena putem internih DNS poslužitelja, možete isključiti ovaj način ponovnim pokretanjem testa proxy veze na svakom čvoru.
Prije početka
| 1 | U web-pregledniku otvorite sučelje čvora Hybrid Data Security (IP adresa/postavka, na primjer,https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postaviti za čvor, a zatim kliknite Prijavite se . |
| 2 | Idi na Pregled (zadana stranica). Kada je omogućeno, Blokirana razlučivost vanjskog DNS -a je postavljeno na da . |
| 3 | Idite na Trust Store & Proxy stranica. |
| 4 | Kliknite Provjerite proxy vezu . Ako vidite poruku koja kaže da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do poslužitelj za DNS i ostat će u ovom načinu rada. U suprotnom, nakon što ponovno pokrenete čvor i vratite se na Pregled stranicu, razlučivost blokiranog vanjskog DNS -a treba postaviti na br. |
Što učiniti sljedeće
Uklonite čvor
| 1 | Upotrijebite VMware vSphere klijent na svom računalu da se prijavite na ESXi virtualni host i isključite virtualno računalo. |
| 2 | Uklonite čvor: |
| 3 | U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu, desni klik VM i kliknite Izbriši .) Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup vašim sigurnosnim podacima. |
Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja
Najkritičnija usluga koju pruža vaš hibridni klaster zaštite podataka je izrada i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, zahtjevi za kreiranje novih ključeva preusmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima koji su ovlašteni da ih dohvate, na primjer, članovima prostora za razgovor.
Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, imperativ je da klaster i dalje radi i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO -a koji se koristi za shemu rezultirat će NENAKONOVIM GUBITKOM sadržaja korisnika. Sljedeće prakse su obavezne kako bi se spriječio takav gubitak:
Ako katastrofa prouzrokuje da HDS implementacija u primarnom podatkovni centar postane nedostupna, slijedite ovaj postupak za ručni prijelaz u pričuvni podatkovni centar.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove . | ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranicu, dodajte konfiguraciju u nastavku ili uklonite
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
(Izborno) Isključite ISO nakon HDS konfiguracije
Standardna HDS konfiguracija radi s montiranim ISO . No, neki korisnici više vole ne ostavljati ISO datoteke kontinuirano montirane. Možete isključiti ISO datoteku nakon što svi HDS čvorovi pokupe novu konfiguraciju.
I dalje koristite ISO datoteke za promjenu konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, možete ponovno demontirati ISO ovim postupkom.
Prije početka
Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.
| 1 | Isključite jedan od svojih HDS čvorova. |
| 2 | U vCenter poslužiteljskom uređaju odaberite HDS čvor. |
| 3 | Odaberite i poništite odabir ISO datoteka skladišta podataka . |
| 4 | Uključite HDS čvor i osigurajte da nema alarma najmanje 20 minuta. |
| 5 | Ponovite redom za svaki HDS čvor. |
Pregledajte upozorenja i rješavanje problema
Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi tako sporo da zahtijeva vremensko ograničenje. Ako korisnici ne mogu doći do vašeg hibridnog sigurnosnog klastera podataka, doživljavaju sljedeće simptome:
Ne mogu se stvoriti novi prostori (nije moguće stvoriti nove ključeve)
Poruke i naslovi prostora ne mogu se dešifrirati za:
Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje
Važno je da pravilno nadzirete svoj hibridni klaster sigurnosti podataka i odmah se obratite svim upozorenjima kako biste izbjegli prekid usluge.
Upozorenja
Ako postoji problem s postavkom Hybrid Data Security, Control Hub prikazuje upozorenja organizacijskom administratoru i šalje e-poštu na konfiguriranu adresa e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.
Upozorenje | Radnja |
|---|---|
Neuspjeh pristupa lokalnoj bazi podataka. |
Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom. |
neuspjelo povezivanje s lokalnom bazom podataka. |
Provjerite je li poslužitelj baze podataka dostupan i da su ispravne vjerodajnice račun usluge korištene u konfiguraciji čvora. |
Neuspjeh pristupa usluzi u oblaku. |
Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje . |
Obnavljanje registracije usluge u oblaku. |
Odustala je registracija na usluge u oblaku. Obnova registracije je u tijeku. |
Registracija usluge u oblaku je pala. |
Registracija na usluge u oblaku je prekinuta. Usluga se gasi. |
Usluga još nije aktivirana. |
Aktivirajte probnu verziju ili dovršite premještanje probe u produkciju. |
Konfigurirana domena ne odgovara certifikat poslužitelja. |
Provjerite odgovara li certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja. |
Provjera autentičnosti na uslugama u oblaku nije uspjela. |
Provjerite točnost i mogući istek vjerodajnica račun usluge . |
Otvaranje datoteke lokalnog spremišta ključeva nije uspjelo. |
Provjerite integritet i točnost lozinke u datoteci lokalnog spremišta ključeva. |
certifikat poslužitelja nije važeći. |
Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdalo pouzdano tijelo za izdavač certifikata. |
Nije moguće objaviti mjerne podatke. |
Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku. |
/media/configdrive/hds direktorij ne postoji. |
Provjerite konfiguraciju ISO montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i da li se uspješno montira. |
Rješavanje problema sa sigurnošću hibridnih podataka
| 1 | Pregledajte Control Hub za sva upozorenja i popravite sve stavke koje tamo pronađete. |
| 2 | Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije Hybrid Data Security. |
| 3 | Kontaktirajte Ciscova podrška . |
Poznati problemi za sigurnost hibridnih podataka
Ako zatvorite svoj hibridni klaster za sigurnost podataka (brisanjem u Control Hubu ili isključivanjem svih čvorova), izgubite konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka pohrane ključeva, korisnici vaše Webex aplikacije više ne mogu koristiti prostore pod svojim osobama popis stvorenih ključevima iz vašeg KMS-a. To se odnosi i na probnu i na proizvodnu implementaciju. Trenutačno nemamo rješenje ili rješenje za ovaj problem i pozivamo vas da ne gasite svoje HDS usluge nakon što obrađuju aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu neko vrijeme (vjerojatno jedan sat). Kada korisnik postane član probnog razdoblja Hybrid Data Security, korisnikov klijent nastavlja koristiti postojeću ECDH vezu dok ne istekne. Alternativno, korisnik se može odjaviti se i ponovno prijaviti u aplikaciju Webex App kako bi ažurirao lokaciju koju aplikacija kontaktira za ključeve za šifriranje.
Isto se ponašanje događa kada premjestite probnu verziju u produkciju za organizaciju. Svi neprobni korisnici s postojećim ECDH vezama s prethodnim uslugama sigurnosti podataka nastavit će koristiti te usluge sve dok se ECDH veza ponovno ne pregovara (putem vremenskog ograničenja ili odjavom i ponovnom prijavom).
Koristite OpenSSL za generiranje PKCS12 datoteke
Prije početka
OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja ispunjava zahtjeve certifikata X.509 u X.509 Zahtjevi certifikata . Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. vidihttps://www.openssl.org za softver i dokumentaciju.
Napravite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od vašeg izdavatelja izdavač certifikata (CA).
| 1 | Kada od CA primite certifikat poslužitelja , spremite ga kao |
| 2 | Prikažite certifikat kao tekst i provjerite pojedinosti.
|
| 3 | Koristite uređivač teksta za stvaranje datoteke paketa certifikata pod nazivom
|
| 4 | Napravite .p12 datoteku s prijateljskim imenom
|
| 5 | Provjerite pojedinosti certifikat poslužitelja . |
Što učiniti sljedeće
Vratite se na Ispunite preduvjete za sigurnost hibridnih podataka . Koristit ćete se hdsnode.p12 datoteku i lozinku koju ste za nju postavili u Izradite konfiguracijski ISO za HDS hostove .
| Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada izvorni certifikat istekne. |
Promet između HDS čvorova i oblaka
Odlazni promet prikupljanja mjernih podataka
Čvorovi Hybrid Data Security šalju određene metrike u Webex oblak. To uključuje metriku sustava za maksimalnu količinu hrpe, iskorištenu hrpu, opterećenje CPU -a i broj niti; metrike na sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag enkripcijskih veza, kašnjenje ili duljinu reda zahtjeva; metrika na pohrani podataka; i metriku enkripcije veze. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.
Ulazni promet
Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:
Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora
Konfigurirajte Squid proxy za hibridnu sigurnost podataka
Websocket se ne može povezati putem Squid proxyja
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa ( wss:) veze koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida koje se ignoriraju wss: prometa za pravilan rad usluga.
Lignje 4 i 5
Dodajte on_unsupported_protocol direktiva za squid.conf:
on_unsupported_protocol tunnel allLignje 3.5.27
Uspješno smo testirali hibridnu sigurnost podataka uz dodana sljedeća pravila squid.conf. Ova pravila podložna su promjeni kako razvijamo značajke i ažuriramo Webex oblak.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNove i promijenjene informacije
Datum | Promjene napravljene | ||
|---|---|---|---|
20. listopada 2023 |
| ||
07. kolovoza 2023 |
| ||
23. svibnja 2023 |
| ||
06. prosinca 2022 |
| ||
23. studenog 2022 |
| ||
13. listopada 2021 | Docker Desktop mora pokrenuti program za postavljanje prije nego što možete instalirati HDS čvorove. vidi Zahtjevi za Docker Desktop . | ||
24. lipnja 2021 | Primijetili smo da možete ponovno upotrijebiti datoteku privatnog ključa i CSR da biste zatražili drugi certifikat. vidi Koristite OpenSSL za generiranje PKCS12 datoteke za detalje. | ||
| 30. travnja 2021. | Promijenjen je zahtjev VM -a za lokalni prostor na tvrdom disku na 30 GB. vidi Zahtjevi virtualnog hosta za detalje. | ||
24. veljače 2021 | HDS Setup Tool sada može raditi iza proxyja. vidi Izradite konfiguracijski ISO za HDS hostove za detalje. | ||
2. veljače 2021 | HDS sada može raditi bez montirane ISO datoteke. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje. | ||
11. siječnja 2021 | Dodane su informacije o alatu za postavljanje HDS-a i proxyjima Izradite konfiguracijski ISO za HDS hostove . | ||
13. listopada 2020 | Ažurirano Preuzmite instalacijske datoteke . | ||
8. listopada 2020. | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s naredbama za FedRAMP okruženja. | ||
14. kolovoza 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s promjenama u procesu prijave. | ||
5. kolovoza 2020 | Ažurirano Testirajte svoju implementaciju sigurnosti hibridnih podataka za promjene u porukama dnevnika. Ažurirano Zahtjevi virtualnog hosta za uklanjanje maksimalni broj hostova. | ||
16. lipnja 2020 | Ažurirano Uklonite čvor za promjene u korisničkom sučelju Control Hub. | ||
4. lipnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove za promjene u naprednim postavkama koje biste mogli postaviti. | ||
29. svibnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove kako bismo pokazali da također možete koristiti TLS s bazama podataka SQL Servera, promjenama korisničkog sučelja i drugim pojašnjenjima. | ||
5. svibnja 2020 | Ažurirano Zahtjevi virtualnog hosta prikazati novi zahtjev ESXi 6.5. | ||
21. travnja 2020 | Ažurirano Zahtjevi za vanjsko povezivanje s novim domaćinima Americas CI. | ||
1. travnja 2020. | Ažurirano Zahtjevi za vanjsko povezivanje s informacijama o regionalnim CI domaćinima. | ||
| 20. veljače 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove s informacijama o novom opcionalnom zaslonu naprednih postavki u alatu za postavljanje HDS-a. | ||
| 4. veljače 2020 | Ažurirano Zahtjevi proxy poslužitelja . | ||
| 16. prosinca 2019. | Pojašnjen je zahtjev za rad u načinu razlučivanja blokiranog vanjskog DNS -a Zahtjevi proxy poslužitelja . | ||
| 19. studenog 2019 | Dodane su informacije o načinu razlučivanja blokiranog vanjskog DNS -a u sljedećim odjeljcima: | ||
8. studenog 2019 | Sada možete konfigurirati mrežne postavke za čvor tijekom implementacije OVA umjesto kasnije. U skladu s tim ažurirani su sljedeći odjeljci:
| ||
6. rujna 2019 | Dodan SQL Server Standard u Zahtjevi poslužitelja baze podataka . | ||
| 29. kolovoza 2019. | Dodano Konfigurirajte Squid proxy za hibridnu sigurnost podataka dodatak sa uputama za konfiguriranje Squid proxyja za zanemarivanje prometa websocketa radi ispravnog rada. | ||
| 20. kolovoza 2019 | Dodani i ažurirani odjeljci koji pokrivaju podršku proxyja za komunikacije čvora Hybrid Data Security u oblaku Webex . Da biste pristupili samo sadržaju podrške za proxy za postojeću implementaciju, pogledajte Proxy podrška za hibridnu sigurnost podataka i Webex Video Mesh članak pomoći. | ||
| 13. lipnja 2019 | Ažurirano Tijek zadatka od probnog do proizvodnog s podsjetnikom za sinkronizaciju HdsTrialGroup grupni objekt prije početka probnog postupka ako vaša organizacija koristi sinkronizaciju imenika. | ||
| 6. ožujka 2019 |
| ||
| 28. veljače 2019. |
| ||
| 26. veljače 2019. |
| ||
24. siječnja 2019 |
| ||
| 5. studenog 2018 |
| ||
| 19. listopada 2018 |
| ||
31. srpnja 2018 |
| ||
| 21. svibnja 2018. | Promijenjena terminologija koja odražava rebranding Cisco Spark:
| ||
| 11. travnja 2018 |
| ||
| 22. veljače 2018 |
| ||
| 15. veljače 2018. |
| ||
| 18. siječnja 2018. |
| ||
2. studenog 2017 |
| ||
18. kolovoza 2017 | Prvi put objavljeno |
Pregled sigurnosti hibridnih podataka
Od prvog dana sigurnost podataka je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.
Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom području sigurnosti. Hybrid Data Security premješta KMS i druge sigurnosne funkcije u vaš podaci poduzeća centar, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.
Arhitektura sigurnosnog područja
Webex arhitektura oblaka odvaja različite vrste usluga u zasebne domene ili domene povjerenja, kao što je prikazano u nastavku.
Da bismo bolje razumjeli sigurnost hibridnih podataka, pogledajmo najprije ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje se korisnici mogu izravno povezati s njihovim osobnim podacima kao što je adresa e-pošte, logično je i fizički odvojena od sigurnosnog područja u podatkovni centar B. Obje su zauzvrat odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj , u podatkovni centar C.
U ovom dijagramu klijent je aplikacija Webex koja se izvodi na prijenosnom računalu korisnika i provjerava autentičnost uslugom identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:
Klijent uspostavlja sigurna veza s uslugom upravljanja ključevima (KMS), a zatim zahtijeva ključ za šifriranje poruke. sigurna veza koristi ECDH, a KMS šifrira ključ pomoću AES-256 glavnog ključa.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka je pohranjena u području pohrane.
Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovom području.
Suradnja s drugim organizacijama
Korisnici u vašoj organizaciji mogu redovito koristiti aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak kroz zasebni ECDH kanal kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.
KMS usluga koja radi na organizaciji A provjerava valjanost veza s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. vidi Pripremite svoje okruženje za pojedinosti o generiranju x.509 certifikata za korištenje s vašom Hybrid Data Security implementacijom.
Očekivanja za implementaciju hibridne sigurnosti podataka
Implementacija Hybrid Data Security zahtijeva značajnu predanost korisnika i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.
Za implementaciju Hybrid Data Security morate osigurati:
Siguran podatkovni centar u zemlji koja je podržano mjesto za planove Cisco Webex Teams .
Oprema, softver i pristup mreži opisani u Pripremite svoje okruženje .
Potpuni gubitak bilo ISO konfiguracije koju ste izgradili za Hybrid Data Security ili baze podataka koju ste dali rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex . Ako se to dogodi, možete napraviti novu implementaciju, ali će biti vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:
Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO konfiguracije.
Budite spremni izvesti brzi oporavak od katastrofe od katastrofe ako se dogodi katastrofa, kao što je kvar diska baze podataka ili katastrofa podatkovni centar .
| Ne postoji mehanizam za premještanje ključeva natrag u oblak nakon implementacije HDS-a. |
Proces postavljanja na visokoj razini
Ovaj dokument pokriva postavljanje i upravljanje Hybrid Data Security implementacijom:
Postavite hibridnu sigurnost podataka —To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, testiranje vaše implementacije s podskupom korisnika u probnom načinu rada i, nakon što je testiranje završeno, prelazak na proizvodnju. To pretvara cijelu organizaciju da koristi vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.
Faze postavljanja, ispitivanja i proizvodnje detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju Hybrid Data Security — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku razine jedan za ovu implementaciju i angažirati Ciscova podrška prema potrebi. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Control Hubu.
Razumjeti uobičajena upozorenja, korake za rješavanje problema i poznate probleme —Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Security, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći da utvrdite i riješite problem.
Model implementacije hibridne sigurnosti podataka
Unutar vašeg podaci poduzeća centra postavljate Hybrid Data Security kao jedan klaster čvorova na zasebnim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih webutičnica i sigurnog HTTP-a.
Tijekom procesa instalacije dajemo vam OVA datoteku za postaviti virtualnog uređaja na VM-ovima koje ste dali. Koristite alat za postavljanje HDS-a za stvaranje ISO datoteke prilagođene konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš osigurani Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Podatke o Syslogd-u i vezi s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)
Minimalni broj čvorova koji možete imati u klasteru je dva. Preporučujemo najmanje tri, a možete imati i do pet. Posjedovanje više čvorova osigurava da usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. ( Webex oblak nadograđuje samo jedan po jedan čvor.)
Svi čvorovi u klasteru pristupaju istoj pohrani ključeva i bilježe aktivnost na istom poslužitelju syslog. Sami čvorovi su bez državljanstva i rješavaju ključne zahtjeve na kružni način, prema uputama oblaka.
Čvorovi postaju aktivni kada ih registrirate u Control Hubu. Da biste isključili pojedini čvor iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.
Podržavamo samo jedan klaster po organizaciji.
Probni način sigurnosti hibridnih podataka
Nakon postavljanja implementacije Hybrid Data Security, prvo je isprobate s skupom pilot korisnika. Tijekom probnog razdoblja, ti korisnici koriste vašu lokalnu domenu Hybrid Data Security za ključeve za šifriranje i druge usluge sigurnosnog područja. Vaši drugi korisnici nastavljaju koristiti područje sigurnosti u oblaku.
Ako odlučite ne nastaviti s implementacijom tijekom probnog razdoblja i deaktivirati uslugu, pilot korisnici i svi korisnici s kojima su stupili u interakciju stvaranjem novih prostora tijekom probnog razdoblja izgubit će pristup porukama i sadržaju. Vidjet će "Ovu poruku nije moguće dešifrirati" u aplikaciji Webex .
Ako ste zadovoljni da vaša implementacija dobro funkcionira za probne korisnike i spremni ste proširiti Hybrid Data Security na sve svoje korisnike, premjestite implementaciju u produkciju. Korisnici pilota i dalje imaju pristup ključevima koji su bili u upotrebi tijekom probnog razdoblja. Međutim, ne možete se kretati naprijed-natrag između proizvodnog načina i izvorne probne verzije. Ako morate deaktivirati uslugu, kao što je izvođenje oporavak od katastrofe od katastrofe, kada ponovno aktivirate, morate pokrenuti novu probnu verziju i postaviti skup pilot korisnika za novo probno razdoblje prije nego što se vratite u proizvodni način rada. Hoće li korisnici zadržati pristup podacima u ovom trenutku ovisi o tome jeste li uspješno održavali sigurnosne kopije pohrana podataka i ISO konfiguracijska datoteka za čvorove Hybrid Data Security u vašem klasteru.
Podatkovni centar u stanju pripravnosti za oporavak od katastrofe
Tijekom implementacije postaviti sigurni podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovni centar , možete ručno ne uspjeti svoju implementaciju u podatkovni centar u stanju pripravnosti.
Baze podataka aktivnih i pričuvnih podatkovnih centara međusobno su sinkronizirane, što će minimizirati vrijeme potrebno za izvođenje prebacivanja. ISO datoteka podatkovni centar u stanju čekanja ažurira se dodatnim konfiguracijama koje osiguravaju da su čvorovi registrirani u organizaciji, ali neće upravljati prometom. Stoga čvorovi podatkovni centar u stanju čekanja uvijek ostaju ažurirani s najnovijom verzijom HDS softvera.
| Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovni centar kao i aktivni poslužitelj baze podataka. |
Postavite podatkovni centar u stanju čekanja za oporavak od katastrofe
Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovni centar u stanju čekanja:
Prije početka
podatkovni centar u stanju čekanja trebao bi odražavati proizvodno okruženje VM-a i sigurnosnu kopiju baze podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. (Vidi Podatkovni centar u stanju pripravnosti za oporavak od katastrofe za pregled ovog modela prelaska na kvar.)
Provjerite je li sinkronizacija baze podataka omogućena između baze podataka aktivnih i pasivnih čvorova klastera.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove .
| ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranici, dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom.
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
Nakon konfiguriranja passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez passiveMode konfiguraciju i spremite je na sigurno mjesto. Ova kopija ISO datoteke bez passiveMode konfigurirano može pomoći u brzom procesu prelaska na kvar tijekom oporavak od katastrofe od katastrofe. vidi Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja za detaljan postupak prelaska na grešku.
Podrška za proxy
Hibridna sigurnost podataka podržava eksplicitne, transparentne proxy i neinspekciju proxyja. Ove proxy servere možete povezati sa svojom implementacijom tako da možete osigurati i pratiti promet iz poduzeća u oblak. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru ukupnog statusa povezivanja nakon što postaviti proxy na čvorove.
Čvorovi Hybrid Data Security podržavaju sljedeće proxy opcije:
Nema proxyja —Zadana postavka ako ne koristite konfiguraciju HDS čvora Trust Store & Proxy za integraciju proxyja. Nije potrebno ažuriranje certifikata.
Transparentni proxy bez inspekcije — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata.
Transparentno tuneliranje ili proxy za inspekciju — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj . Na čvorovima nisu potrebne promjene konfiguracije HTTP ili HTTPS. Međutim, čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. Proxy proxy obično koristi IT za provođenje pravila o tome koja web-mjesta mogu biti posjećena i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy —S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu provjere autentičnosti da koriste. Da biste konfigurirali eksplicitni proxy, morate unijeti sljedeće podatke na svakom čvoru:
Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy stroju.
Proxy priključak —Broj porta koji proxy koristi za slušanje proxy prometa.
Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
HTTP—Pregledava i kontrolira sve zahtjeve koje klijent šalje.
HTTPS—pruža kanal za poslužitelj. Klijent prima i potvrđuje certifikat poslužitelja.
vrsta provjere autentičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
Ništa — nije potrebna daljnja provjera autentičnosti.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Osnovni —Koristi se za HTTP korisnički agent za davanje korisničkog imena i lozinke prilikom postavljanja zahtjeva. Koristi Base64 kodiranje.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Sažetak — Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže.
Dostupno samo ako odaberete HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Primjer hibridnih čvorova za sigurnost podataka i proxyja
Ovaj dijagram prikazuje primjer veze između Hybrid Data Security, mreže i proxyja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru proxy opcija, isti korijenski certifikat mora biti instaliran na proxy i na čvorovima Hybrid Data Security.
Blokirani način razlučivanja vanjskog DNS -a (eksplicitne proxy konfiguracije)
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. U implementacijama s eksplicitnim proxy konfiguracijama koje ne dopuštaju vanjsko DNS razlučivanje za interne klijente, ako čvor ne može upitati DNS poslužitelje, automatski prelazi u način Blocked External DNS Resolution. U ovom načinu može se nastaviti registracija čvora i drugi testovi proxy povezivanja.
Zahtjevi za hibridnu sigurnost podataka
Zahtjevi za licencu Cisco Webex
Za implementaciju hibridne sigurnosti podataka:
Morate imati Pro Pack za Cisco Webex Control Hub. (Vidihttps://www.cisco.com/go/pro-pack .)
Zahtjevi za Docker Desktop
Prije nego što instalirate svoje HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša organizacija može zahtijevati plaćenu pretplatu za Docker Desktop. Za detalje pogledajte post na blogu Docker, " Docker ažurira i proširuje naše pretplate na proizvode ".
X.509 Zahtjevi certifikata
lanac certifikata mora ispunjavati sljedeće zahtjeve:
Uvjet | Pojedinosti |
|---|---|
| Prema zadanim postavkama, vjerujemo CA-ovima na Mozilla popisu (s izuzetkom WoSign i StartCom) nahttps://wiki.mozilla.org/CA:IncludedCAs . |
| CN ne mora biti dostupan niti biti domaćin uživo. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, CN ne smije sadržavati * (zamjenski znak). CN se koristi za provjeru čvorova Hybrid Data Security za klijente Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što ste registrirali čvor s ovim certifikatom, ne podržavamo promjenu naziva CN naziv domene. Odaberite domenu koja se može primijeniti i na probnu i na proizvodnu implementaciju. |
| KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija. |
| Možete koristiti pretvarač kao što je OpenSSL za promjenu formata certifikata. Morat ćete unijeti lozinku kada pokrenete HDS Setup Tool. |
KMS softver ne provodi korištenje ključa ili proširena ograničenja upotrebe ključa. Neka tijela za izdavanje certifikata zahtijevaju da se proširena ograničenja upotrebe ključa primjenjuju na svaki certifikat, kao što je provjera autentičnosti poslužitelja. U redu je koristiti provjeru autentičnosti poslužitelja ili druge postavke.
Zahtjevi virtualnog hosta
Virtualni hostovi koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru imaju sljedeće zahtjeve:
Najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar
VMware ESXi 6.5 (ili noviji) je instaliran i radi.
Morate nadograditi ako imate stariju verziju ESXi.
Najmanje 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju
Zahtjevi poslužitelja baze podataka
| Napravite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka. |
Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:
PostgreSQL | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) | Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) |
HDS softver trenutno instalira sljedeće verzije drajvera za komunikaciju s poslužitelj baze podataka:
PostgreSQL | Microsoft SQL Server |
|---|---|
Postgres JDBC drajver 42.2.5 | SQL Server JDBC upravljački program 4.6 Ova verzija upravljačkog programa podržava SQL Server Always On ( Uvijek uključene instance klastera za napuštanje greške i Grupe dostupnosti Always On ). |
Dodatni zahtjevi za Windows autentifikaciju na Microsoft SQL Serveru
Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:
HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje dajete HDS čvorovima moraju moći riješiti vaš centar za distribuciju ključeva (KDC).
Instancu baze podataka HDS možete registrirati na svom Microsoft SQL Serveru kao naziv principala usluge (SPN) na vašem Active Directory. vidi Registrirajte naziv glavne usluge za Kerberos veze .
Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za izradu SPN-a kada traže pristup s Kerberos provjerom autentičnosti.
Zahtjevi za vanjsko povezivanje
Konfigurirajte svoj vatrozid da omogući sljedeće povezivanje za HDS aplikacije:
Aplikacija | Protokol | Priključak | Smjer iz aplikacije | Odredište |
|---|---|---|---|---|
Čvorovi hibridne sigurnosti podataka | TCP | 443 | Odlazni HTTPS i WSS |
|
Alat za postavljanje HDS-a | TCP | 443 | Odlazni HTTPS |
|
| Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze na odredišta domene u prethodnoj tablici. Za veze koje ulaze u čvorove Hybrid Data Security, nikakvi portovi ne bi trebali biti vidljivi s interneta. Unutar vašeg podatkovni centar, klijenti trebaju pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe. |
URL-ovi za hostove zajedničkog identiteta (CI) su specifični za regiju. Ovo su trenutni CI hostovi:
Regija | Uobičajeni URL-ovi hosta identiteta |
|---|---|
Južna i Sjeverna Amerika |
|
Europska unija |
|
Kanada |
|
Zahtjevi proxy poslužitelja
Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim Hybrid Data Security čvorovima.
Transparentni proxy— Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Da biste zaobišli ovaj problem, pogledajte Konfigurirajte Squid proxy za hibridnu sigurnost podataka .
Podržavamo sljedeće kombinacije tipova provjere autentičnosti za eksplicitne proxy servere:
Nema provjere autentičnosti s HTTP ili HTTPS
Osnovna provjera autentičnosti s HTTP ili HTTPS
Digest autentifikacija samo s HTTPS-om
Za transparentni proxy proxy ili HTTPS eksplicitni proxy, morate imati kopiju korijenski certifikat proxyja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u skladišta povjerenja čvorova Hybrid Data Security.
Mreža koja hostira HDS čvorove mora biti konfigurirana da prisili izlazni TCP promet na portu 443 da usmjeri kroz proxy.
Proksiji koji provjeravaju web promet mogu ometati veze web utičnice. Ako se ovaj problem pojavi, zaobići (ne provjeravati) promet do
wbx2.comiciscospark.comriješit će problem.
Ispunite preduvjete za sigurnost hibridnih podataka
| 1 | Provjerite je li vaša Webex organizacija omogućena za Pro Pack za Cisco Webex Control Hub i pribavite vjerodajnice računa s punim administratorskim pravima organizacije. Obratite se svom Cisco partneru ili upravitelju računa za pomoć u ovom procesu. | ||
| 2 | Odaberite naziv domene za svoju HDS implementaciju (na primjer, | ||
| 3 | Pripremite identične virtualne hostove koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru. Potrebna su vam najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar koji ispunjavaju zahtjeve u Zahtjevi virtualnog hosta . | ||
| 4 | Pripremite poslužitelj baze podataka koji će djelovati kao ključna pohrana podataka za klaster, prema Zahtjevi poslužitelja baze podataka . Poslužitelj poslužitelj baze podataka mora biti smješten u sigurnom podatkovni centar s virtualnim hostovima. | ||
| 5 | Za brzi oporavak od katastrofe od katastrofe, postaviti okruženje za sigurnosnu kopiju u drugom podatkovni centar. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-a i poslužitelj baze podataka sigurnosne kopije. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. | ||
| 6 | Postavite host syslog za prikupljanje zapisnika s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514). | ||
| 7 | Napravite sigurnosno sigurnosno kopiranje za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepopravljiv gubitak podataka, morate sigurnosno kopirati bazu podataka i konfiguracijsku ISO datoteku generiranu za čvorove Hybrid Data Security.
Klijenti aplikacije Webex spremaju svoje ključeve, tako da kvar možda neće biti odmah uočljiv, ali će s vremenom postati očigledan. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima o korisnicima. Od operatera čvorova Hybrid Data Security se očekuje da održavaju česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te da budu spremni za ponovnu izgradnju podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara. | ||
| 8 | Osigurajte da konfiguracija vatrozida dopušta povezivanje za vaše čvorove Hybrid Data Security kao što je navedeno Zahtjevi za vanjsko povezivanje . | ||
| 9 | Instaliraj Docker (https://www.docker.com ) na bilo kojem lokalnom računalu s podržanim OS (Microsoft Windows 10 Professional ili Enterprise 64-bit, ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Instancu Dockera koristite za preuzimanje i pokretanje alata za postavljanje HDS-a, koji gradi konfiguracijska informacija za sve čvorove Hybrid Data Security. Vaša organizacija možda treba licencu za Docker Desktop. vidi Zahtjevi za Docker Desktop za više informacija. Da biste instalirali i pokrenuli alat za postavljanje HDS-a, lokalni stroj mora imati opisanu povezanost Zahtjevi za vanjsko povezivanje . | ||
| 10 | Ako integrirate proxy s Hybrid Data Security, provjerite zadovoljava li Zahtjevi proxy poslužitelja . | ||
| 11 | Ako vaša organizacija koristi sinkronizaciju imenika, stvorite grupu u Active Directory pod nazivom
|
Tijek zadatka implementacije hibridne sigurnosti podataka
Prije početka
| 1 | Preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoj lokalni stroj za kasniju upotrebu. | ||
| 2 | Izradite konfiguracijski ISO za HDS hostove Koristite alat za postavljanje HDS-a za stvaranje ISO konfiguracijska datoteka za čvorove Hybrid Data Security. | ||
| 3 |
Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke.
| ||
| 4 | Postavite VM za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. | ||
| 5 | Prenesite i montirajte ISO konfiguraciju HDS-a Konfigurirajte VM iz ISO konfiguracijska datoteka koju ste kreirali pomoću alata za postavljanje HDS-a. | ||
| 6 | Konfigurirajte HDS čvor za proxy integraciju Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u skladište povjerenja ako je potrebno. | ||
| 7 | Registrirajte prvi čvor u klasteru Registrirajte VM u oblaku Cisco Webex kao čvor za hibridnu sigurnost podataka. | ||
| 8 | Stvorite i registrirajte više čvorova Dovršite postavljanje klastera. | ||
| 9 | Pokrenite probnu verziju i prijeđite u produkciju (sljedeće poglavlje) Dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana. |
Preuzmite instalacijske datoteke
| 1 | Prijavite se nahttps://admin.webex.com , a zatim kliknite Usluge . | ||||
| 2 | U odjeljku Hybrid Services pronađite karticu Hybrid Data Security, a zatim kliknite Postavite . Ako je kartica onemogućena ili je ne vidite, obratite se svom timu za račun ili partnerskoj organizaciji. Dajte im broj svog računa i zamolite da omogućite svoju organizaciju za sigurnost hibridnih podataka. Da biste pronašli broj računa, kliknite zupčanik u gornjem desnom kutu, pored naziva svoje organizacije.
| ||||
| 3 | Odaberite ne kako biste naznačili da još niste postaviti čvor, a zatim kliknite Dalje . OVA datoteka automatski počinje preuzimati. Spremite datoteku na mjesto na vašem računalu.
| ||||
| 4 | Po želji, kliknite Otvorite Vodič za implementaciju da provjerite postoji li dostupna novija verzija ovog vodiča. |
Izradite konfiguracijski ISO za HDS hostove
Proces postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg hosta Hybrid Data Security.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) kroz varijable Docker okruženja kada u koraku otvorite Docker spremnik 5 . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTKonfiguracijska ISO datoteka koju generirate sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. Potrebna vam je najnovija kopija ove datoteke svaki put kada izvršite promjene u konfiguraciji, poput ovih:
Vjerodajnice baze podataka
Ažuriranja certifikata
Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postaviti svoju implementaciju PostgreSQL ili SQL Server za TLS.
| 1 | U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima:
| ||||||||||||
| 2 | Da biste se prijaviti se registar Docker slika, unesite sljedeće: | ||||||||||||
| 3 | Na upit za lozinku unesite ovaj hash: | ||||||||||||
| 4 | Preuzmite najnoviju stabilnu sliku za svoje okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima: | ||||||||||||
| 5 | Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:
Kada je spremnik pokrenut, vidite "Ekspresno slušanje poslužitelja na portu 8080." | ||||||||||||
| 6 |
Upotrijebite web preglednik da idite na lokalni host, Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat tada prikazuje standardni upit za prijavu. | ||||||||||||
| 7 | Kada se to od vas zatraži, unesite svoje vjerodajnice za prijavu administratora korisničkog centra Control Hub, a zatim kliknite Prijavite se kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security. | ||||||||||||
| 8 | Na stranici Pregled alata za postavljanje kliknite Započnite . | ||||||||||||
| 9 | Na ISO uvoz stranicu, imate ove opcije:
| ||||||||||||
| 10 | Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 Zahtjevi certifikata .
| ||||||||||||
| 11 | Unesite adresu baze podataka i račun za HDS za pristup vašoj ključnoj pohrani podataka: | ||||||||||||
| 12 | Odaberite a TLS način povezivanja baze podataka :
Kada prenesete korijenski certifikat (ako je potrebno) i kliknite Nastavi , HDS Setup Tool testira TLS vezu s poslužitelj baze podataka. Alat također provjerava potpisnika certifikata i ime hosta, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o poruka o pogrešci opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s postavljanjem. (Zbog razlika u povezivanju, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je stroj alata za postavljanje HDS-a ne može uspješno testirati.) | ||||||||||||
| 13 | Na stranici System Logs, konfigurirajte svoj Syslogd poslužitelj: | ||||||||||||
| 14 | (Izborno) Možete promijeniti zadana vrijednost za neke parametre povezivanja baze podataka u Napredne postavke . Općenito, ovaj parametar je jedini koji biste možda željeli promijeniti: | ||||||||||||
| 15 | Kliknite Nastavi na Poništi lozinku za račune usluge zaslon. Lozinke računa usluge imaju vijek trajanja od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite poništiti kako biste poništili prethodne ISO datoteke. | ||||||||||||
| 16 | Kliknite Preuzmite ISO datoteku . Spremite datoteku na mjesto koje je lako pronaći. | ||||||||||||
| 17 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||||||||||||
| 18 | Da biste isključili alat za postavljanje, upišite |
Što učiniti sljedeće
Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za promjenu konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.
| Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite. |
Instalirajte HDS Host OVA
| 1 | Upotrijebite VMware vSphere klijent na svom računalu za prijavu na ESXi virtualni host. | ||||||
| 2 | Odaberite Datoteka > Postavite OVF predložak . | ||||||
| 3 | U čarobnjaku navedite mjesto OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje . | ||||||
| 4 | Na Odaberite naziv i mapu stranicu, unesite a Naziv virtualnog stroja za čvor (na primjer, "HDS_ Node_ 1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualno računalo , a zatim kliknite Dalje . | ||||||
| 5 | Na Odaberite računalni resurs stranicu, odaberite odredišni računalni resurs, a zatim kliknite Dalje . Pokreće se provjera valjanosti. Nakon što završi, pojavljuju se detalji predloška. | ||||||
| 6 | Provjerite detalje predloška, a zatim kliknite Dalje . | ||||||
| 7 | Ako se od vas traži da odaberete konfiguraciju resursa na Konfiguracija stranicu, kliknite 4 CPU a zatim kliknite Dalje . | ||||||
| 8 | Na Odaberite pohranu stranicu, kliknite Dalje za prihvaćanje zadanog formata diska i pravila pohrane VM -a. | ||||||
| 9 | Na Odaberite mreže na stranici, odaberite opciju mreže s popisa unosa kako biste pružili željenu povezanost s VM-om. | ||||||
| 10 | Na Prilagodite predložak stranicu, konfigurirajte sljedeće mrežne postavke:
Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti upute Postavite VM za hibridnu sigurnost podataka za konfiguriranje postavki s konzole čvora.
| ||||||
| 11 | Desnom tipkom miša kliknite VM čvora, a zatim odaberite . Softver Hybrid Data Security instalira se kao gost na VM Host. Sada ste spremni za prijaviti se na konzolu i konfiguriranje čvora. Savjeti za rješavanje problema Možda ćete doživjeti kašnjenje od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka bridge firewall-a pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti se. |
Postavite VM za hibridnu sigurnost podataka
Upotrijebite ovaj postupak da se prvi put prijaviti se na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.
| 1 | U VMware vSphere klijentu odaberite svoj Hybrid Data Security čvor VM i odaberite Konzola tab. VM se pokreće i pojavljuje se prompt za prijavu. Ako se prompt za prijavu ne prikaže, pritisnite Uđi .
|
| 2 | Za prijaviti se i promjenu vjerodajnica koristite sljedeću zadanu prijavu i lozinku: Budući da se prvi put prijavljujete na svoj VM , morate promijeniti lozinku administratora. |
| 3 | Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA , preskočite ostatak ovog postupka. Inače, u glavni izbornik odaberite Uredi konfiguraciju opcija. |
| 4 | Postavite statičku konfiguraciju s IP adresa, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresa i DNS naziv. DHCP nije podržan. |
| 5 | (Neobavezno) Promijenite naziv hosta, domenu ili NTP poslužitelj(e) ako je potrebno da odgovara vašim mrežnim pravilima. Ne morate postaviti domenu da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. |
| 6 | Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu. |
Prenesite i montirajte ISO konfiguraciju HDS-a
Prije početka
Budući da ISO datoteka sadrži glavni ključ, trebala bi biti izložena samo na temelju "treba znati" za pristup VM-ovima Hybrid Data Security i svim administratorima koji bi mogli unijeti promjene. Provjerite da samo ti administratori mogu pristupiti spremištu podataka.
| 1 | Prenesite ISO datoteku sa svog računala: |
| 2 | Montirajte ISO datoteku: |
Što učiniti sljedeće
Ako vaša IT politika zahtijeva, možete po želji demontirati ISO datoteku nakon što svi vaši čvorovi poprime promjene konfiguracije. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje.
Konfigurirajte HDS čvor za proxy integraciju
Ako mrežno okruženje zahtijeva proxy, upotrijebite ovaj postupak za navođenje vrste proxyja koji želite integrirati s Hybrid Data Security. Ako odaberete transparentni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instalaciju korijenski certifikat. Također možete provjeriti proxy vezu sa sučelja i riješiti sve potencijalne probleme.
Prije početka
vidi Podrška za proxy za pregled podržanih proxy opcija.
| 1 | Unesite URL za postavljanje HDS čvora |
| 2 | Idi na Trust Store & Proxy , a zatim odaberite opciju:
Slijedite sljedeće korake za transparentni proxy proxy, eksplicitni HTTP proxy s osnovnom provjerom autentičnosti ili eksplicitni HTTPS proxy. |
| 3 | Kliknite Prenesite korijenski certifikat ili certifikat krajnjeg entiteta , a zatim idite na odabir korijenski certifikat za proxy. Certifikat je učitan, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu u obliku ševrona uz naziv izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku. |
| 4 | Kliknite Provjerite proxy vezu za testiranje mrežne povezanosti između čvora i proxyja. Ako test veze ne uspije, vidjet ćete poruku o poruka o pogrešci koja pokazuje razlog i kako možete ispraviti problem. Ako vidite poruku da vanjsko DNS razlučivanje nije bilo uspješno, čvor nije mogao doći do poslužitelj za DNS. Ovaj uvjet se očekuje u mnogim eksplicitnim proxy konfiguracijama. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blocked External DNS Resolution. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način razlučivanja blokiranog vanjskog DNS -a . |
| 5 | Nakon što test veze prođe, za eksplicitni proxy postavljen samo na https, uključite prekidač na Usmjerite sve zahtjeve za port 443/444 https s ovog čvora kroz eksplicitni proxy . Ova postavka zahtijeva 15 sekundi da stupi na snagu. |
| 6 | Kliknite Instalirajte sve certifikate u Trust Store (pojavljuje se za eksplicitni HTTPS proxy ili transparentni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za eksplicitni HTTP proxy), pročitajte upit, a zatim kliknite Instalirajte ako ste spremni. Čvor se ponovno pokreće u roku od nekoliko minuta. |
| 7 | Nakon što se čvor ponovno pokrene, ponovno se prijaviti se ako je potrebno, a zatim otvorite Pregled stranicu za provjeru provjera povezivanja kako biste bili sigurni da su sve u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s vezom, uobičajen je problem da su neke od domena oblaka navedene u uputama za instalaciju blokirane na proxyju. |
Registrirajte prvi čvor u klasteru
Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova koji su raspoređeni kako bi osigurali redundantnost.
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Prijavite se na https://admin.webex.com. |
| 2 | Na izborniku na lijevoj strani zaslona odaberite Usluge . |
| 3 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavite . Pojavljuje se stranica Registriraj hibridni sigurnosni čvor.
|
| 4 | Odaberite da da označite da ste postaviti čvor i da ste spremni za registraciju, a zatim kliknite Dalje . |
| 5 | U prvo polje unesite naziv za klaster kojem želite dodijeliti svoj Hybrid Data Security čvor. Preporučujemo da imenujete klaster na temelju toga gdje se čvorovi klastera geografski nalaze. Primjeri: "San Francisco" ili "New York" ili "Dallas" |
| 6 | U drugo polje unesite internu IP adresa ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Dalje . Ova IP adresa ili FQDN bi se trebali podudarati s IP adresa ili imenom hosta i domenom na kojoj ste se koristili Postavite VM za hibridnu sigurnost podataka . Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
|
| 7 | Kliknite Idite na Node . |
| 8 | Kliknite Nastavi u poruka upozorenja. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup sigurnosnom čvoru hibridnih podataka. Tu potvrđujete da želite svojoj Webex organizaciji dati dopuštenja za pristup vašem čvoru.
|
| 9 | Provjerite Dopustite pristup vašem hibridnom sigurnosnom čvoru podataka potvrdni okvir, a zatim kliknite Nastavi . Vaš je račun potvrđen i poruka "Registracija je dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
|
| 10 | Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Control Hub Hybrid Data Security. Na Hibridna sigurnost podataka stranici, prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.
|
Stvorite i registrirajte više čvorova
| U ovom trenutku, sigurnosne kopije VM-a u kojima ste kreirali Ispunite preduvjete za sigurnost hibridnih podataka su standby hostovi koji se koriste samo u slučaju oporavka od oporavak od katastrofe; do tada nisu registrirani u sustavu. Za detalje pogledajte Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja . |
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Izradite novi virtualno računalo iz OVA, ponavljajući korake u Instalirajte HDS Host OVA . |
| 2 | Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u Postavite VM za hibridnu sigurnost podataka . |
| 3 | Na novom VM-u ponovite korake u Prenesite i montirajte ISO konfiguraciju HDS-a . |
| 4 | Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za proxy integraciju prema potrebi za novi čvor. |
| 5 | Registrirajte čvor. Vaš čvor je registriran. Imajte na umu da dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana.
|
Što učiniti sljedeće
Tijek zadatka od probnog do proizvodnog
Nakon što postaviti hibridni klaster sigurnosti podataka, možete pokrenuti pilot, dodati mu korisnike i početi ga koristiti za testiranje i provjeru svoje implementacije u pripremi za prelazak na proizvodnju.
Prije početka
| 1 | Ako je primjenjivo, sinkronizirajte Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati |
| 2 |
Započnite probu. Dok ne izvršite ovaj zadatak, vaši čvorovi generiraju alarm koji pokazuje da usluga još nije aktivirana. |
| 3 | Testirajte svoju implementaciju sigurnosti hibridnih podataka Provjerite prolaze li ključni zahtjevi vašoj implementaciji Hybrid Data Security. |
| 4 | Pratite zdravlje hibridne sigurnosti podataka Provjerite status i postaviti obavijesti e-poštom za alarme. |
| 5 | |
| 6 | Dovršite probnu fazu jednom od sljedećih radnji: |
Aktivirajte probnu verziju
Prije početka
Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati HdsTrialGroup grupni objekt za sinkronizaciju s oblakom prije nego što možete pokrenuti probnu verziju za svoju organizaciju. Za upute pogledajte Vodič za implementaciju za Cisco Directory Connector.
| 1 | Prijavite se nahttps://admin.webex.com , a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Započni suđenje . Status usluge mijenja se u probni način.
|
| 4 | Kliknite Dodajte korisnike i unesite adresa e-pošte jednog ili više korisnika za pilotiranje korištenjem vaših Hybrid Data Security čvorova za usluge šifriranja i indeksiranja. (Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory za upravljanje probnom grupom, |
Testirajte svoju implementaciju sigurnosti hibridnih podataka
Prije početka
Postavite svoju implementaciju Hybrid Data Security.
Aktivirajte probnu verziju i dodajte nekoliko probnih korisnika.
Osigurajte da imate pristup syslogu kako biste provjerili prosljeđuju li ključni zahtjevi vašoj Hybrid Data Security implementaciji.
| 1 | Ključeve za dati prostor postavlja kreator prostora. Prijavite se u aplikaciju Webex kao jedan od pilot korisnika, a zatim stvorite prostor i pozovite barem jednog pilot korisnika i jednog korisnika koji nije pilot.
| ||
| 2 | Šaljite poruke u novi prostor. | ||
| 3 | Provjerite izlaz syslog kako biste potvrdili da se zahtjevi za ključeve prosljeđuju vašoj Hybrid Data Security implementaciji. |
Pratite zdravlje hibridne sigurnosti podataka
| 1 | u Kontrolno čvorište , odaberite Usluge iz izbornika na lijevoj strani zaslona. |
| 2 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavke . Pojavljuje se stranica Postavke sigurnosti hibridnih podataka.
|
| 3 | U odjeljku Obavijesti e-pošta -poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Uđi . |
Dodajte ili uklonite korisnike iz svoje probne verzije
Ako uklonite korisnika iz probne verzije, korisnikov klijent će zatražiti ključeve i izradu ključeva iz KMS-a u oblaku umjesto vašeg KMS-a. Ako klijent treba ključ koji je pohranjen na vašem KMS-u, KMS u oblaku će ga dohvatiti u ime korisnika.
Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory (umjesto ovog postupka) za upravljanje probnom grupom, HdsTrialGroup; možete vidjeti članove grupe u Control Hubu, ali ih ne možete dodati ili ukloniti.
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Probni način rada u području Status usluge kliknite Dodajte korisnike , ili kliknite pregledati i urediti za uklanjanje korisnika iz probe. |
| 4 | Unesite adresa e-pošte jednog ili više korisnika za dodavanje ili kliknite na X pomoću ID korisnika-a za uklanjanje korisnika iz probe. Zatim kliknite Spremi . |
Prijeđite s probnog na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Prijeđite u produkciju . |
| 4 | Potvrdite da sve svoje korisnike želite premjestiti u produkciju. |
Završite probno razdoblje bez prelaska na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Deaktiviraj kliknite Deaktiviraj . |
| 4 | Potvrdite da želite deaktivirati uslugu i završiti probno razdoblje. |
Upravljajte HDS implementacijom
Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.
Postavite raspored nadogradnje klastera
Za postavljanje rasporeda nadogradnje:
| 1 | Prijavite se na Kontrolno čvorište . |
| 2 | Na stranici Pregled u odjeljku Hibridne usluge odaberite Hibridna sigurnost podataka . |
| 3 | Na stranici Resursi za sigurnost hibridnih podataka odaberite klaster. |
| 4 | Na ploči Pregled s desne strane, u odjeljku Postavke klastera, odaberite naziv klastera. |
| 5 | Na stranici Postavke, u odjeljku Nadogradnja, odaberite vrijeme i vremenska zona za raspored nadogradnje. Napomena: Ispod vremenska zona prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Ako je potrebno, nadogradnju možete odgoditi za sljedeći dan klikom Odgoditi . |
Promijenite konfiguraciju čvora
Promjena x.509 certifikata zbog isteka ili drugih razloga.
Ne podržavamo promjenu naziva CN naziv domene certifikata. Domena mora odgovarati izvornoj domeni korištenoj za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku baze podataka PostgreSQL ili Microsoft SQL Server.
Ne podržavamo migraciju podataka s PostgreSQL na Microsoft SQL Server ili obrnuto. Za promjenu okruženja baze podataka pokrenite novu implementaciju Hybrid Data Security.
Izrada nove konfiguracije za pripremu novog podatkovni centar.
Također, iz sigurnosnih razloga, Hybrid Data Security koristi lozinke račun usluge koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira ove lozinke, postavljate ih na svaki od vaših HDS čvorova u ISO konfiguracijskoj datoteci. Kada se lozinke vaše organizacije bliže isteku, od Webex tima ćete primiti obavijest da poništite lozinku za račun vašeg računala. (E-poruka uključuje tekst "Koristite API računa računala za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam nudi dvije mogućnosti:
Soft reset — Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset —Stare lozinke odmah prestaju raditi.
Ako vaše lozinke istječu bez resetiranja, to utječe na vašu HDS uslugu, zahtijevajući trenutno hard reset i zamjenu ISO datoteke na svim čvorovima.
Koristite ovaj postupak za generiranje nove konfiguracijske ISO datoteke i primjenu na svoj klaster.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem varijabli Docker okruženja kada pokrenete Docker spremnik u 1.e . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTZa generiranje nove konfiguracije potrebna vam je kopija ISO datoteke trenutne konfiguracije. ISO sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.
| 1 | Koristeći Docker na lokalnom računalu, pokrenite alat za postavljanje HDS-a.
| ||||||
| 2 | Ako imate pokrenut samo jedan HDS čvor , stvorite novi VM čvora Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Za detaljnije upute pogledajte Stvorite i registrirajte više čvorova . | ||||||
| 3 | Za postojeće HDS čvorove koji pokreću stariju konfiguracijska datoteka, montirajte ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: | ||||||
| 4 | Ponovite korak 3 da zamijenite konfiguraciju na svakom preostalom čvoru koji izvodi staru konfiguraciju. |
Isključite način razlučivanja blokiranog vanjskog DNS -a
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. Ako poslužitelj za DNS čvora ne može razriješiti javna DNS imena, čvor automatski prelazi u način Blocked External DNS Resolution.
Ako vaši čvorovi mogu razriješiti javna DNS imena putem internih DNS poslužitelja, možete isključiti ovaj način ponovnim pokretanjem testa proxy veze na svakom čvoru.
Prije početka
| 1 | U web-pregledniku otvorite sučelje čvora Hybrid Data Security (IP adresa/postavka, na primjer,https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postaviti za čvor, a zatim kliknite Prijavite se . |
| 2 | Idi na Pregled (zadana stranica). Kada je omogućeno, Blokirana razlučivost vanjskog DNS -a je postavljeno na da . |
| 3 | Idite na Trust Store & Proxy stranica. |
| 4 | Kliknite Provjerite proxy vezu . Ako vidite poruku koja kaže da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do poslužitelj za DNS i ostat će u ovom načinu rada. U suprotnom, nakon što ponovno pokrenete čvor i vratite se na Pregled stranicu, razlučivost blokiranog vanjskog DNS -a treba postaviti na br. |
Što učiniti sljedeće
Uklonite čvor
| 1 | Upotrijebite VMware vSphere klijent na svom računalu da se prijavite na ESXi virtualni host i isključite virtualno računalo. |
| 2 | Uklonite čvor: |
| 3 | U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu, desni klik VM i kliknite Izbriši .) Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup vašim sigurnosnim podacima. |
Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja
Najkritičnija usluga koju pruža vaš hibridni klaster zaštite podataka je izrada i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, zahtjevi za kreiranje novih ključeva preusmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima koji su ovlašteni da ih dohvate, na primjer, članovima prostora za razgovor.
Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, imperativ je da klaster i dalje radi i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO -a koji se koristi za shemu rezultirat će NENAKONOVIM GUBITKOM sadržaja korisnika. Sljedeće prakse su obavezne kako bi se spriječio takav gubitak:
Ako katastrofa prouzrokuje da HDS implementacija u primarnom podatkovni centar postane nedostupna, slijedite ovaj postupak za ručni prijelaz u pričuvni podatkovni centar.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove . | ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranicu, dodajte konfiguraciju u nastavku ili uklonite
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
(Izborno) Isključite ISO nakon HDS konfiguracije
Standardna HDS konfiguracija radi s montiranim ISO . No, neki korisnici više vole ne ostavljati ISO datoteke kontinuirano montirane. Možete isključiti ISO datoteku nakon što svi HDS čvorovi pokupe novu konfiguraciju.
I dalje koristite ISO datoteke za promjenu konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, možete ponovno demontirati ISO ovim postupkom.
Prije početka
Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.
| 1 | Isključite jedan od svojih HDS čvorova. |
| 2 | U vCenter poslužiteljskom uređaju odaberite HDS čvor. |
| 3 | Odaberite i poništite odabir ISO datoteka skladišta podataka . |
| 4 | Uključite HDS čvor i osigurajte da nema alarma najmanje 20 minuta. |
| 5 | Ponovite redom za svaki HDS čvor. |
Pregledajte upozorenja i rješavanje problema
Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi tako sporo da zahtijeva vremensko ograničenje. Ako korisnici ne mogu doći do vašeg hibridnog sigurnosnog klastera podataka, doživljavaju sljedeće simptome:
Ne mogu se stvoriti novi prostori (nije moguće stvoriti nove ključeve)
Poruke i naslovi prostora ne mogu se dešifrirati za:
Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje
Važno je da pravilno nadzirete svoj hibridni klaster sigurnosti podataka i odmah se obratite svim upozorenjima kako biste izbjegli prekid usluge.
Upozorenja
Ako postoji problem s postavkom Hybrid Data Security, Control Hub prikazuje upozorenja organizacijskom administratoru i šalje e-poštu na konfiguriranu adresa e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.
Upozorenje | Radnja |
|---|---|
Neuspjeh pristupa lokalnoj bazi podataka. |
Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom. |
neuspjelo povezivanje s lokalnom bazom podataka. |
Provjerite je li poslužitelj baze podataka dostupan i da su ispravne vjerodajnice račun usluge korištene u konfiguraciji čvora. |
Neuspjeh pristupa usluzi u oblaku. |
Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje . |
Obnavljanje registracije usluge u oblaku. |
Odustala je registracija na usluge u oblaku. Obnova registracije je u tijeku. |
Registracija usluge u oblaku je pala. |
Registracija na usluge u oblaku je prekinuta. Usluga se gasi. |
Usluga još nije aktivirana. |
Aktivirajte probnu verziju ili dovršite premještanje probe u produkciju. |
Konfigurirana domena ne odgovara certifikat poslužitelja. |
Provjerite odgovara li certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja. |
Provjera autentičnosti na uslugama u oblaku nije uspjela. |
Provjerite točnost i mogući istek vjerodajnica račun usluge . |
Otvaranje datoteke lokalnog spremišta ključeva nije uspjelo. |
Provjerite integritet i točnost lozinke u datoteci lokalnog spremišta ključeva. |
certifikat poslužitelja nije važeći. |
Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdalo pouzdano tijelo za izdavač certifikata. |
Nije moguće objaviti mjerne podatke. |
Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku. |
/media/configdrive/hds direktorij ne postoji. |
Provjerite konfiguraciju ISO montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i da li se uspješno montira. |
Rješavanje problema sa sigurnošću hibridnih podataka
| 1 | Pregledajte Control Hub za sva upozorenja i popravite sve stavke koje tamo pronađete. |
| 2 | Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije Hybrid Data Security. |
| 3 | Kontaktirajte Ciscova podrška . |
Poznati problemi za sigurnost hibridnih podataka
Ako zatvorite svoj hibridni klaster za sigurnost podataka (brisanjem u Control Hubu ili isključivanjem svih čvorova), izgubite konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka pohrane ključeva, korisnici vaše Webex aplikacije više ne mogu koristiti prostore pod svojim osobama popis stvorenih ključevima iz vašeg KMS-a. To se odnosi i na probnu i na proizvodnu implementaciju. Trenutačno nemamo rješenje ili rješenje za ovaj problem i pozivamo vas da ne gasite svoje HDS usluge nakon što obrađuju aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu neko vrijeme (vjerojatno jedan sat). Kada korisnik postane član probnog razdoblja Hybrid Data Security, korisnikov klijent nastavlja koristiti postojeću ECDH vezu dok ne istekne. Alternativno, korisnik se može odjaviti se i ponovno prijaviti u aplikaciju Webex App kako bi ažurirao lokaciju koju aplikacija kontaktira za ključeve za šifriranje.
Isto se ponašanje događa kada premjestite probnu verziju u produkciju za organizaciju. Svi neprobni korisnici s postojećim ECDH vezama s prethodnim uslugama sigurnosti podataka nastavit će koristiti te usluge sve dok se ECDH veza ponovno ne pregovara (putem vremenskog ograničenja ili odjavom i ponovnom prijavom).
Koristite OpenSSL za generiranje PKCS12 datoteke
Prije početka
OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja ispunjava zahtjeve certifikata X.509 u X.509 Zahtjevi certifikata . Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. vidihttps://www.openssl.org za softver i dokumentaciju.
Napravite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od vašeg izdavatelja izdavač certifikata (CA).
| 1 | Kada od CA primite certifikat poslužitelja , spremite ga kao |
| 2 | Prikažite certifikat kao tekst i provjerite pojedinosti.
|
| 3 | Koristite uređivač teksta za stvaranje datoteke paketa certifikata pod nazivom
|
| 4 | Napravite .p12 datoteku s prijateljskim imenom
|
| 5 | Provjerite pojedinosti certifikat poslužitelja . |
Što učiniti sljedeće
Vratite se na Ispunite preduvjete za sigurnost hibridnih podataka . Koristit ćete se hdsnode.p12 datoteku i lozinku koju ste za nju postavili u Izradite konfiguracijski ISO za HDS hostove .
| Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada izvorni certifikat istekne. |
Promet između HDS čvorova i oblaka
Odlazni promet prikupljanja mjernih podataka
Čvorovi Hybrid Data Security šalju određene metrike u Webex oblak. To uključuje metriku sustava za maksimalnu količinu hrpe, iskorištenu hrpu, opterećenje CPU -a i broj niti; metrike na sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag enkripcijskih veza, kašnjenje ili duljinu reda zahtjeva; metrika na pohrani podataka; i metriku enkripcije veze. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.
Ulazni promet
Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:
Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora
Konfigurirajte Squid proxy za hibridnu sigurnost podataka
Websocket se ne može povezati putem Squid proxyja
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa ( wss:) veze koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida koje se ignoriraju wss: prometa za pravilan rad usluga.
Lignje 4 i 5
Dodajte on_unsupported_protocol direktiva za squid.conf:
on_unsupported_protocol tunnel allLignje 3.5.27
Uspješno smo testirali hibridnu sigurnost podataka uz dodana sljedeća pravila squid.conf. Ova pravila podložna su promjeni kako razvijamo značajke i ažuriramo Webex oblak.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNove i promijenjene informacije
Datum | Promjene napravljene | ||
|---|---|---|---|
20. listopada 2023 |
| ||
07. kolovoza 2023 |
| ||
23. svibnja 2023 |
| ||
06. prosinca 2022 |
| ||
23. studenog 2022 |
| ||
13. listopada 2021 | Docker Desktop mora pokrenuti program za postavljanje prije nego što možete instalirati HDS čvorove. vidi Zahtjevi za Docker Desktop . | ||
24. lipnja 2021 | Primijetili smo da možete ponovno upotrijebiti datoteku privatnog ključa i CSR da biste zatražili drugi certifikat. vidi Koristite OpenSSL za generiranje PKCS12 datoteke za detalje. | ||
| 30. travnja 2021. | Promijenjen je zahtjev VM -a za lokalni prostor na tvrdom disku na 30 GB. vidi Zahtjevi virtualnog hosta za detalje. | ||
24. veljače 2021 | HDS Setup Tool sada može raditi iza proxyja. vidi Izradite konfiguracijski ISO za HDS hostove za detalje. | ||
2. veljače 2021 | HDS sada može raditi bez montirane ISO datoteke. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje. | ||
11. siječnja 2021 | Dodane su informacije o alatu za postavljanje HDS-a i proxyjima Izradite konfiguracijski ISO za HDS hostove . | ||
13. listopada 2020 | Ažurirano Preuzmite instalacijske datoteke . | ||
8. listopada 2020. | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s naredbama za FedRAMP okruženja. | ||
14. kolovoza 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s promjenama u procesu prijave. | ||
5. kolovoza 2020 | Ažurirano Testirajte svoju implementaciju sigurnosti hibridnih podataka za promjene u porukama dnevnika. Ažurirano Zahtjevi virtualnog hosta za uklanjanje maksimalni broj hostova. | ||
16. lipnja 2020 | Ažurirano Uklonite čvor za promjene u korisničkom sučelju Control Hub. | ||
4. lipnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove za promjene u naprednim postavkama koje biste mogli postaviti. | ||
29. svibnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove kako bismo pokazali da također možete koristiti TLS s bazama podataka SQL Servera, promjenama korisničkog sučelja i drugim pojašnjenjima. | ||
5. svibnja 2020 | Ažurirano Zahtjevi virtualnog hosta prikazati novi zahtjev ESXi 6.5. | ||
21. travnja 2020 | Ažurirano Zahtjevi za vanjsko povezivanje s novim domaćinima Americas CI. | ||
1. travnja 2020. | Ažurirano Zahtjevi za vanjsko povezivanje s informacijama o regionalnim CI domaćinima. | ||
| 20. veljače 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove s informacijama o novom opcionalnom zaslonu naprednih postavki u alatu za postavljanje HDS-a. | ||
| 4. veljače 2020 | Ažurirano Zahtjevi proxy poslužitelja . | ||
| 16. prosinca 2019. | Pojašnjen je zahtjev za rad u načinu razlučivanja blokiranog vanjskog DNS -a Zahtjevi proxy poslužitelja . | ||
| 19. studenog 2019 | Dodane su informacije o načinu razlučivanja blokiranog vanjskog DNS -a u sljedećim odjeljcima: | ||
8. studenog 2019 | Sada možete konfigurirati mrežne postavke za čvor tijekom implementacije OVA umjesto kasnije. U skladu s tim ažurirani su sljedeći odjeljci:
| ||
6. rujna 2019 | Dodan SQL Server Standard u Zahtjevi poslužitelja baze podataka . | ||
| 29. kolovoza 2019. | Dodano Konfigurirajte Squid proxy za hibridnu sigurnost podataka dodatak sa uputama za konfiguriranje Squid proxyja za zanemarivanje prometa websocketa radi ispravnog rada. | ||
| 20. kolovoza 2019 | Dodani i ažurirani odjeljci koji pokrivaju podršku proxyja za komunikacije čvora Hybrid Data Security u oblaku Webex . Da biste pristupili samo sadržaju podrške za proxy za postojeću implementaciju, pogledajte Proxy podrška za hibridnu sigurnost podataka i Webex Video Mesh članak pomoći. | ||
| 13. lipnja 2019 | Ažurirano Tijek zadatka od probnog do proizvodnog s podsjetnikom za sinkronizaciju HdsTrialGroup grupni objekt prije početka probnog postupka ako vaša organizacija koristi sinkronizaciju imenika. | ||
| 6. ožujka 2019 |
| ||
| 28. veljače 2019. |
| ||
| 26. veljače 2019. |
| ||
24. siječnja 2019 |
| ||
| 5. studenog 2018 |
| ||
| 19. listopada 2018 |
| ||
31. srpnja 2018 |
| ||
| 21. svibnja 2018. | Promijenjena terminologija koja odražava rebranding Cisco Spark:
| ||
| 11. travnja 2018 |
| ||
| 22. veljače 2018 |
| ||
| 15. veljače 2018. |
| ||
| 18. siječnja 2018. |
| ||
2. studenog 2017 |
| ||
18. kolovoza 2017 | Prvi put objavljeno |
Pregled sigurnosti hibridnih podataka
Od prvog dana sigurnost podataka je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.
Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom području sigurnosti. Hybrid Data Security premješta KMS i druge sigurnosne funkcije u vaš podaci poduzeća centar, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.
Arhitektura sigurnosnog područja
Webex arhitektura oblaka odvaja različite vrste usluga u zasebne domene ili domene povjerenja, kao što je prikazano u nastavku.
Da bismo bolje razumjeli sigurnost hibridnih podataka, pogledajmo najprije ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje se korisnici mogu izravno povezati s njihovim osobnim podacima kao što je adresa e-pošte, logično je i fizički odvojena od sigurnosnog područja u podatkovni centar B. Obje su zauzvrat odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj , u podatkovni centar C.
U ovom dijagramu klijent je aplikacija Webex koja se izvodi na prijenosnom računalu korisnika i provjerava autentičnost uslugom identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:
Klijent uspostavlja sigurna veza s uslugom upravljanja ključevima (KMS), a zatim zahtijeva ključ za šifriranje poruke. sigurna veza koristi ECDH, a KMS šifrira ključ pomoću AES-256 glavnog ključa.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka je pohranjena u području pohrane.
Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovom području.
Suradnja s drugim organizacijama
Korisnici u vašoj organizaciji mogu redovito koristiti aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak kroz zasebni ECDH kanal kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.
KMS usluga koja radi na organizaciji A provjerava valjanost veza s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. vidi Pripremite svoje okruženje za pojedinosti o generiranju x.509 certifikata za korištenje s vašom Hybrid Data Security implementacijom.
Očekivanja za implementaciju hibridne sigurnosti podataka
Implementacija Hybrid Data Security zahtijeva značajnu predanost korisnika i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.
Za implementaciju Hybrid Data Security morate osigurati:
Siguran podatkovni centar u zemlji koja je podržano mjesto za planove Cisco Webex Teams .
Oprema, softver i pristup mreži opisani u Pripremite svoje okruženje .
Potpuni gubitak bilo ISO konfiguracije koju ste izgradili za Hybrid Data Security ili baze podataka koju ste dali rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex . Ako se to dogodi, možete napraviti novu implementaciju, ali će biti vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:
Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO konfiguracije.
Budite spremni izvesti brzi oporavak od katastrofe od katastrofe ako se dogodi katastrofa, kao što je kvar diska baze podataka ili katastrofa podatkovni centar .
| Ne postoji mehanizam za premještanje ključeva natrag u oblak nakon implementacije HDS-a. |
Proces postavljanja na visokoj razini
Ovaj dokument pokriva postavljanje i upravljanje Hybrid Data Security implementacijom:
Postavite hibridnu sigurnost podataka —To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, testiranje vaše implementacije s podskupom korisnika u probnom načinu rada i, nakon što je testiranje završeno, prelazak na proizvodnju. To pretvara cijelu organizaciju da koristi vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.
Faze postavljanja, ispitivanja i proizvodnje detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju Hybrid Data Security — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku razine jedan za ovu implementaciju i angažirati Ciscova podrška prema potrebi. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Control Hubu.
Razumjeti uobičajena upozorenja, korake za rješavanje problema i poznate probleme —Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Security, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći da utvrdite i riješite problem.
Model implementacije hibridne sigurnosti podataka
Unutar vašeg podaci poduzeća centra postavljate Hybrid Data Security kao jedan klaster čvorova na zasebnim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih webutičnica i sigurnog HTTP-a.
Tijekom procesa instalacije dajemo vam OVA datoteku za postaviti virtualnog uređaja na VM-ovima koje ste dali. Koristite alat za postavljanje HDS-a za stvaranje ISO datoteke prilagođene konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš osigurani Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Podatke o Syslogd-u i vezi s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)
Minimalni broj čvorova koji možete imati u klasteru je dva. Preporučujemo najmanje tri, a možete imati i do pet. Posjedovanje više čvorova osigurava da usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. ( Webex oblak nadograđuje samo jedan po jedan čvor.)
Svi čvorovi u klasteru pristupaju istoj pohrani ključeva i bilježe aktivnost na istom poslužitelju syslog. Sami čvorovi su bez državljanstva i rješavaju ključne zahtjeve na kružni način, prema uputama oblaka.
Čvorovi postaju aktivni kada ih registrirate u Control Hubu. Da biste isključili pojedini čvor iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.
Podržavamo samo jedan klaster po organizaciji.
Probni način sigurnosti hibridnih podataka
Nakon postavljanja implementacije Hybrid Data Security, prvo je isprobate s skupom pilot korisnika. Tijekom probnog razdoblja, ti korisnici koriste vašu lokalnu domenu Hybrid Data Security za ključeve za šifriranje i druge usluge sigurnosnog područja. Vaši drugi korisnici nastavljaju koristiti područje sigurnosti u oblaku.
Ako odlučite ne nastaviti s implementacijom tijekom probnog razdoblja i deaktivirati uslugu, pilot korisnici i svi korisnici s kojima su stupili u interakciju stvaranjem novih prostora tijekom probnog razdoblja izgubit će pristup porukama i sadržaju. Vidjet će "Ovu poruku nije moguće dešifrirati" u aplikaciji Webex .
Ako ste zadovoljni da vaša implementacija dobro funkcionira za probne korisnike i spremni ste proširiti Hybrid Data Security na sve svoje korisnike, premjestite implementaciju u produkciju. Korisnici pilota i dalje imaju pristup ključevima koji su bili u upotrebi tijekom probnog razdoblja. Međutim, ne možete se kretati naprijed-natrag između proizvodnog načina i izvorne probne verzije. Ako morate deaktivirati uslugu, kao što je izvođenje oporavak od katastrofe od katastrofe, kada ponovno aktivirate, morate pokrenuti novu probnu verziju i postaviti skup pilot korisnika za novo probno razdoblje prije nego što se vratite u proizvodni način rada. Hoće li korisnici zadržati pristup podacima u ovom trenutku ovisi o tome jeste li uspješno održavali sigurnosne kopije pohrana podataka i ISO konfiguracijska datoteka za čvorove Hybrid Data Security u vašem klasteru.
Podatkovni centar u stanju pripravnosti za oporavak od katastrofe
Tijekom implementacije postaviti sigurni podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovni centar , možete ručno ne uspjeti svoju implementaciju u podatkovni centar u stanju pripravnosti.
Baze podataka aktivnih i pričuvnih podatkovnih centara međusobno su sinkronizirane, što će minimizirati vrijeme potrebno za izvođenje prebacivanja. ISO datoteka podatkovni centar u stanju čekanja ažurira se dodatnim konfiguracijama koje osiguravaju da su čvorovi registrirani u organizaciji, ali neće upravljati prometom. Stoga čvorovi podatkovni centar u stanju čekanja uvijek ostaju ažurirani s najnovijom verzijom HDS softvera.
| Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovni centar kao i aktivni poslužitelj baze podataka. |
Postavite podatkovni centar u stanju čekanja za oporavak od katastrofe
Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovni centar u stanju čekanja:
Prije početka
podatkovni centar u stanju čekanja trebao bi odražavati proizvodno okruženje VM-a i sigurnosnu kopiju baze podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. (Vidi Podatkovni centar u stanju pripravnosti za oporavak od katastrofe za pregled ovog modela prelaska na kvar.)
Provjerite je li sinkronizacija baze podataka omogućena između baze podataka aktivnih i pasivnih čvorova klastera.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove .
| ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranici, dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom.
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
Nakon konfiguriranja passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez passiveMode konfiguraciju i spremite je na sigurno mjesto. Ova kopija ISO datoteke bez passiveMode konfigurirano može pomoći u brzom procesu prelaska na kvar tijekom oporavak od katastrofe od katastrofe. vidi Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja za detaljan postupak prelaska na grešku.
Podrška za proxy
Hibridna sigurnost podataka podržava eksplicitne, transparentne proxy i neinspekciju proxyja. Ove proxy servere možete povezati sa svojom implementacijom tako da možete osigurati i pratiti promet iz poduzeća u oblak. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru ukupnog statusa povezivanja nakon što postaviti proxy na čvorove.
Čvorovi Hybrid Data Security podržavaju sljedeće proxy opcije:
Nema proxyja —Zadana postavka ako ne koristite konfiguraciju HDS čvora Trust Store & Proxy za integraciju proxyja. Nije potrebno ažuriranje certifikata.
Transparentni proxy bez inspekcije — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata.
Transparentno tuneliranje ili proxy za inspekciju — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj . Na čvorovima nisu potrebne promjene konfiguracije HTTP ili HTTPS. Međutim, čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. Proxy proxy obično koristi IT za provođenje pravila o tome koja web-mjesta mogu biti posjećena i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy —S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu provjere autentičnosti da koriste. Da biste konfigurirali eksplicitni proxy, morate unijeti sljedeće podatke na svakom čvoru:
Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy stroju.
Proxy priključak —Broj porta koji proxy koristi za slušanje proxy prometa.
Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
HTTP—Pregledava i kontrolira sve zahtjeve koje klijent šalje.
HTTPS—pruža kanal za poslužitelj. Klijent prima i potvrđuje certifikat poslužitelja.
vrsta provjere autentičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
Ništa — nije potrebna daljnja provjera autentičnosti.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Osnovni —Koristi se za HTTP korisnički agent za davanje korisničkog imena i lozinke prilikom postavljanja zahtjeva. Koristi Base64 kodiranje.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Sažetak — Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže.
Dostupno samo ako odaberete HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Primjer hibridnih čvorova za sigurnost podataka i proxyja
Ovaj dijagram prikazuje primjer veze između Hybrid Data Security, mreže i proxyja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru proxy opcija, isti korijenski certifikat mora biti instaliran na proxy i na čvorovima Hybrid Data Security.
Blokirani način razlučivanja vanjskog DNS -a (eksplicitne proxy konfiguracije)
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. U implementacijama s eksplicitnim proxy konfiguracijama koje ne dopuštaju vanjsko DNS razlučivanje za interne klijente, ako čvor ne može upitati DNS poslužitelje, automatski prelazi u način Blocked External DNS Resolution. U ovom načinu može se nastaviti registracija čvora i drugi testovi proxy povezivanja.
Zahtjevi za hibridnu sigurnost podataka
Zahtjevi za licencu Cisco Webex
Za implementaciju hibridne sigurnosti podataka:
Morate imati Pro Pack za Cisco Webex Control Hub. (Vidihttps://www.cisco.com/go/pro-pack .)
Zahtjevi za Docker Desktop
Prije nego što instalirate svoje HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša organizacija može zahtijevati plaćenu pretplatu za Docker Desktop. Za detalje pogledajte post na blogu Docker, " Docker ažurira i proširuje naše pretplate na proizvode ".
X.509 Zahtjevi certifikata
lanac certifikata mora ispunjavati sljedeće zahtjeve:
Uvjet | Pojedinosti |
|---|---|
| Prema zadanim postavkama, vjerujemo CA-ovima na Mozilla popisu (s izuzetkom WoSign i StartCom) nahttps://wiki.mozilla.org/CA:IncludedCAs . |
| CN ne mora biti dostupan niti biti domaćin uživo. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, CN ne smije sadržavati * (zamjenski znak). CN se koristi za provjeru čvorova Hybrid Data Security za klijente Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što ste registrirali čvor s ovim certifikatom, ne podržavamo promjenu naziva CN naziv domene. Odaberite domenu koja se može primijeniti i na probnu i na proizvodnu implementaciju. |
| KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija. |
| Možete koristiti pretvarač kao što je OpenSSL za promjenu formata certifikata. Morat ćete unijeti lozinku kada pokrenete HDS Setup Tool. |
KMS softver ne provodi korištenje ključa ili proširena ograničenja upotrebe ključa. Neka tijela za izdavanje certifikata zahtijevaju da se proširena ograničenja upotrebe ključa primjenjuju na svaki certifikat, kao što je provjera autentičnosti poslužitelja. U redu je koristiti provjeru autentičnosti poslužitelja ili druge postavke.
Zahtjevi virtualnog hosta
Virtualni hostovi koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru imaju sljedeće zahtjeve:
Najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar
VMware ESXi 6.5 (ili noviji) je instaliran i radi.
Morate nadograditi ako imate stariju verziju ESXi.
Najmanje 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju
Zahtjevi poslužitelja baze podataka
| Napravite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka. |
Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:
PostgreSQL | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) | Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) |
HDS softver trenutno instalira sljedeće verzije drajvera za komunikaciju s poslužitelj baze podataka:
PostgreSQL | Microsoft SQL Server |
|---|---|
Postgres JDBC drajver 42.2.5 | SQL Server JDBC upravljački program 4.6 Ova verzija upravljačkog programa podržava SQL Server Always On ( Uvijek uključene instance klastera za napuštanje greške i Grupe dostupnosti Always On ). |
Dodatni zahtjevi za Windows autentifikaciju na Microsoft SQL Serveru
Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:
HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje dajete HDS čvorovima moraju moći riješiti vaš centar za distribuciju ključeva (KDC).
Instancu baze podataka HDS možete registrirati na svom Microsoft SQL Serveru kao naziv principala usluge (SPN) na vašem Active Directory. vidi Registrirajte naziv glavne usluge za Kerberos veze .
Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za izradu SPN-a kada traže pristup s Kerberos provjerom autentičnosti.
Zahtjevi za vanjsko povezivanje
Konfigurirajte svoj vatrozid da omogući sljedeće povezivanje za HDS aplikacije:
Aplikacija | Protokol | Priključak | Smjer iz aplikacije | Odredište |
|---|---|---|---|---|
Čvorovi hibridne sigurnosti podataka | TCP | 443 | Odlazni HTTPS i WSS |
|
Alat za postavljanje HDS-a | TCP | 443 | Odlazni HTTPS |
|
| Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze na odredišta domene u prethodnoj tablici. Za veze koje ulaze u čvorove Hybrid Data Security, nikakvi portovi ne bi trebali biti vidljivi s interneta. Unutar vašeg podatkovni centar, klijenti trebaju pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe. |
URL-ovi za hostove zajedničkog identiteta (CI) su specifični za regiju. Ovo su trenutni CI hostovi:
Regija | Uobičajeni URL-ovi hosta identiteta |
|---|---|
Južna i Sjeverna Amerika |
|
Europska unija |
|
Kanada |
|
Zahtjevi proxy poslužitelja
Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim Hybrid Data Security čvorovima.
Transparentni proxy— Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Da biste zaobišli ovaj problem, pogledajte Konfigurirajte Squid proxy za hibridnu sigurnost podataka .
Podržavamo sljedeće kombinacije tipova provjere autentičnosti za eksplicitne proxy servere:
Nema provjere autentičnosti s HTTP ili HTTPS
Osnovna provjera autentičnosti s HTTP ili HTTPS
Digest autentifikacija samo s HTTPS-om
Za transparentni proxy proxy ili HTTPS eksplicitni proxy, morate imati kopiju korijenski certifikat proxyja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u skladišta povjerenja čvorova Hybrid Data Security.
Mreža koja hostira HDS čvorove mora biti konfigurirana da prisili izlazni TCP promet na portu 443 da usmjeri kroz proxy.
Proksiji koji provjeravaju web promet mogu ometati veze web utičnice. Ako se ovaj problem pojavi, zaobići (ne provjeravati) promet do
wbx2.comiciscospark.comriješit će problem.
Ispunite preduvjete za sigurnost hibridnih podataka
| 1 | Provjerite je li vaša Webex organizacija omogućena za Pro Pack za Cisco Webex Control Hub i pribavite vjerodajnice računa s punim administratorskim pravima organizacije. Obratite se svom Cisco partneru ili upravitelju računa za pomoć u ovom procesu. | ||
| 2 | Odaberite naziv domene za svoju HDS implementaciju (na primjer, | ||
| 3 | Pripremite identične virtualne hostove koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru. Potrebna su vam najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar koji ispunjavaju zahtjeve u Zahtjevi virtualnog hosta . | ||
| 4 | Pripremite poslužitelj baze podataka koji će djelovati kao ključna pohrana podataka za klaster, prema Zahtjevi poslužitelja baze podataka . Poslužitelj poslužitelj baze podataka mora biti smješten u sigurnom podatkovni centar s virtualnim hostovima. | ||
| 5 | Za brzi oporavak od katastrofe od katastrofe, postaviti okruženje za sigurnosnu kopiju u drugom podatkovni centar. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-a i poslužitelj baze podataka sigurnosne kopije. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. | ||
| 6 | Postavite host syslog za prikupljanje zapisnika s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514). | ||
| 7 | Napravite sigurnosno sigurnosno kopiranje za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepopravljiv gubitak podataka, morate sigurnosno kopirati bazu podataka i konfiguracijsku ISO datoteku generiranu za čvorove Hybrid Data Security.
Klijenti aplikacije Webex spremaju svoje ključeve, tako da kvar možda neće biti odmah uočljiv, ali će s vremenom postati očigledan. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima o korisnicima. Od operatera čvorova Hybrid Data Security se očekuje da održavaju česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te da budu spremni za ponovnu izgradnju podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara. | ||
| 8 | Osigurajte da konfiguracija vatrozida dopušta povezivanje za vaše čvorove Hybrid Data Security kao što je navedeno Zahtjevi za vanjsko povezivanje . | ||
| 9 | Instaliraj Docker (https://www.docker.com ) na bilo kojem lokalnom računalu s podržanim OS (Microsoft Windows 10 Professional ili Enterprise 64-bit, ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Instancu Dockera koristite za preuzimanje i pokretanje alata za postavljanje HDS-a, koji gradi konfiguracijska informacija za sve čvorove Hybrid Data Security. Vaša organizacija možda treba licencu za Docker Desktop. vidi Zahtjevi za Docker Desktop za više informacija. Da biste instalirali i pokrenuli alat za postavljanje HDS-a, lokalni stroj mora imati opisanu povezanost Zahtjevi za vanjsko povezivanje . | ||
| 10 | Ako integrirate proxy s Hybrid Data Security, provjerite zadovoljava li Zahtjevi proxy poslužitelja . | ||
| 11 | Ako vaša organizacija koristi sinkronizaciju imenika, stvorite grupu u Active Directory pod nazivom
|
Tijek zadatka implementacije hibridne sigurnosti podataka
Prije početka
| 1 | Preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoj lokalni stroj za kasniju upotrebu. | ||
| 2 | Izradite konfiguracijski ISO za HDS hostove Koristite alat za postavljanje HDS-a za stvaranje ISO konfiguracijska datoteka za čvorove Hybrid Data Security. | ||
| 3 |
Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke.
| ||
| 4 | Postavite VM za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. | ||
| 5 | Prenesite i montirajte ISO konfiguraciju HDS-a Konfigurirajte VM iz ISO konfiguracijska datoteka koju ste kreirali pomoću alata za postavljanje HDS-a. | ||
| 6 | Konfigurirajte HDS čvor za proxy integraciju Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u skladište povjerenja ako je potrebno. | ||
| 7 | Registrirajte prvi čvor u klasteru Registrirajte VM u oblaku Cisco Webex kao čvor za hibridnu sigurnost podataka. | ||
| 8 | Stvorite i registrirajte više čvorova Dovršite postavljanje klastera. | ||
| 9 | Pokrenite probnu verziju i prijeđite u produkciju (sljedeće poglavlje) Dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana. |
Preuzmite instalacijske datoteke
| 1 | Prijavite se nahttps://admin.webex.com , a zatim kliknite Usluge . | ||||
| 2 | U odjeljku Hybrid Services pronađite karticu Hybrid Data Security, a zatim kliknite Postavite . Ako je kartica onemogućena ili je ne vidite, obratite se svom timu za račun ili partnerskoj organizaciji. Dajte im broj svog računa i zamolite da omogućite svoju organizaciju za sigurnost hibridnih podataka. Da biste pronašli broj računa, kliknite zupčanik u gornjem desnom kutu, pored naziva svoje organizacije.
| ||||
| 3 | Odaberite ne kako biste naznačili da još niste postaviti čvor, a zatim kliknite Dalje . OVA datoteka automatski počinje preuzimati. Spremite datoteku na mjesto na vašem računalu.
| ||||
| 4 | Po želji, kliknite Otvorite Vodič za implementaciju da provjerite postoji li dostupna novija verzija ovog vodiča. |
Izradite konfiguracijski ISO za HDS hostove
Proces postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg hosta Hybrid Data Security.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) kroz varijable Docker okruženja kada u koraku otvorite Docker spremnik 5 . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTKonfiguracijska ISO datoteka koju generirate sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. Potrebna vam je najnovija kopija ove datoteke svaki put kada izvršite promjene u konfiguraciji, poput ovih:
Vjerodajnice baze podataka
Ažuriranja certifikata
Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postaviti svoju implementaciju PostgreSQL ili SQL Server za TLS.
| 1 | U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima:
| ||||||||||||
| 2 | Da biste se prijaviti se registar Docker slika, unesite sljedeće: | ||||||||||||
| 3 | Na upit za lozinku unesite ovaj hash: | ||||||||||||
| 4 | Preuzmite najnoviju stabilnu sliku za svoje okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima: | ||||||||||||
| 5 | Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:
Kada je spremnik pokrenut, vidite "Ekspresno slušanje poslužitelja na portu 8080." | ||||||||||||
| 6 |
Upotrijebite web preglednik da idite na lokalni host, Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat tada prikazuje standardni upit za prijavu. | ||||||||||||
| 7 | Kada se to od vas zatraži, unesite svoje vjerodajnice za prijavu administratora korisničkog centra Control Hub, a zatim kliknite Prijavite se kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security. | ||||||||||||
| 8 | Na stranici Pregled alata za postavljanje kliknite Započnite . | ||||||||||||
| 9 | Na ISO uvoz stranicu, imate ove opcije:
| ||||||||||||
| 10 | Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 Zahtjevi certifikata .
| ||||||||||||
| 11 | Unesite adresu baze podataka i račun za HDS za pristup vašoj ključnoj pohrani podataka: | ||||||||||||
| 12 | Odaberite a TLS način povezivanja baze podataka :
Kada prenesete korijenski certifikat (ako je potrebno) i kliknite Nastavi , HDS Setup Tool testira TLS vezu s poslužitelj baze podataka. Alat također provjerava potpisnika certifikata i ime hosta, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o poruka o pogrešci opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s postavljanjem. (Zbog razlika u povezivanju, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je stroj alata za postavljanje HDS-a ne može uspješno testirati.) | ||||||||||||
| 13 | Na stranici System Logs, konfigurirajte svoj Syslogd poslužitelj: | ||||||||||||
| 14 | (Izborno) Možete promijeniti zadana vrijednost za neke parametre povezivanja baze podataka u Napredne postavke . Općenito, ovaj parametar je jedini koji biste možda željeli promijeniti: | ||||||||||||
| 15 | Kliknite Nastavi na Poništi lozinku za račune usluge zaslon. Lozinke računa usluge imaju vijek trajanja od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite poništiti kako biste poništili prethodne ISO datoteke. | ||||||||||||
| 16 | Kliknite Preuzmite ISO datoteku . Spremite datoteku na mjesto koje je lako pronaći. | ||||||||||||
| 17 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||||||||||||
| 18 | Da biste isključili alat za postavljanje, upišite |
Što učiniti sljedeće
Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za promjenu konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.
| Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite. |
Instalirajte HDS Host OVA
| 1 | Upotrijebite VMware vSphere klijent na svom računalu za prijavu na ESXi virtualni host. | ||||||
| 2 | Odaberite Datoteka > Postavite OVF predložak . | ||||||
| 3 | U čarobnjaku navedite mjesto OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje . | ||||||
| 4 | Na Odaberite naziv i mapu stranicu, unesite a Naziv virtualnog stroja za čvor (na primjer, "HDS_ Node_ 1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualno računalo , a zatim kliknite Dalje . | ||||||
| 5 | Na Odaberite računalni resurs stranicu, odaberite odredišni računalni resurs, a zatim kliknite Dalje . Pokreće se provjera valjanosti. Nakon što završi, pojavljuju se detalji predloška. | ||||||
| 6 | Provjerite detalje predloška, a zatim kliknite Dalje . | ||||||
| 7 | Ako se od vas traži da odaberete konfiguraciju resursa na Konfiguracija stranicu, kliknite 4 CPU a zatim kliknite Dalje . | ||||||
| 8 | Na Odaberite pohranu stranicu, kliknite Dalje za prihvaćanje zadanog formata diska i pravila pohrane VM -a. | ||||||
| 9 | Na Odaberite mreže na stranici, odaberite opciju mreže s popisa unosa kako biste pružili željenu povezanost s VM-om. | ||||||
| 10 | Na Prilagodite predložak stranicu, konfigurirajte sljedeće mrežne postavke:
Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti upute Postavite VM za hibridnu sigurnost podataka za konfiguriranje postavki s konzole čvora.
| ||||||
| 11 | Desnom tipkom miša kliknite VM čvora, a zatim odaberite . Softver Hybrid Data Security instalira se kao gost na VM Host. Sada ste spremni za prijaviti se na konzolu i konfiguriranje čvora. Savjeti za rješavanje problema Možda ćete doživjeti kašnjenje od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka bridge firewall-a pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti se. |
Postavite VM za hibridnu sigurnost podataka
Upotrijebite ovaj postupak da se prvi put prijaviti se na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.
| 1 | U VMware vSphere klijentu odaberite svoj Hybrid Data Security čvor VM i odaberite Konzola tab. VM se pokreće i pojavljuje se prompt za prijavu. Ako se prompt za prijavu ne prikaže, pritisnite Uđi .
|
| 2 | Za prijaviti se i promjenu vjerodajnica koristite sljedeću zadanu prijavu i lozinku: Budući da se prvi put prijavljujete na svoj VM , morate promijeniti lozinku administratora. |
| 3 | Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA , preskočite ostatak ovog postupka. Inače, u glavni izbornik odaberite Uredi konfiguraciju opcija. |
| 4 | Postavite statičku konfiguraciju s IP adresa, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresa i DNS naziv. DHCP nije podržan. |
| 5 | (Neobavezno) Promijenite naziv hosta, domenu ili NTP poslužitelj(e) ako je potrebno da odgovara vašim mrežnim pravilima. Ne morate postaviti domenu da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. |
| 6 | Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu. |
Prenesite i montirajte ISO konfiguraciju HDS-a
Prije početka
Budući da ISO datoteka sadrži glavni ključ, trebala bi biti izložena samo na temelju "treba znati" za pristup VM-ovima Hybrid Data Security i svim administratorima koji bi mogli unijeti promjene. Provjerite da samo ti administratori mogu pristupiti spremištu podataka.
| 1 | Prenesite ISO datoteku sa svog računala: |
| 2 | Montirajte ISO datoteku: |
Što učiniti sljedeće
Ako vaša IT politika zahtijeva, možete po želji demontirati ISO datoteku nakon što svi vaši čvorovi poprime promjene konfiguracije. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje.
Konfigurirajte HDS čvor za proxy integraciju
Ako mrežno okruženje zahtijeva proxy, upotrijebite ovaj postupak za navođenje vrste proxyja koji želite integrirati s Hybrid Data Security. Ako odaberete transparentni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instalaciju korijenski certifikat. Također možete provjeriti proxy vezu sa sučelja i riješiti sve potencijalne probleme.
Prije početka
vidi Podrška za proxy za pregled podržanih proxy opcija.
| 1 | Unesite URL za postavljanje HDS čvora |
| 2 | Idi na Trust Store & Proxy , a zatim odaberite opciju:
Slijedite sljedeće korake za transparentni proxy proxy, eksplicitni HTTP proxy s osnovnom provjerom autentičnosti ili eksplicitni HTTPS proxy. |
| 3 | Kliknite Prenesite korijenski certifikat ili certifikat krajnjeg entiteta , a zatim idite na odabir korijenski certifikat za proxy. Certifikat je učitan, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu u obliku ševrona uz naziv izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku. |
| 4 | Kliknite Provjerite proxy vezu za testiranje mrežne povezanosti između čvora i proxyja. Ako test veze ne uspije, vidjet ćete poruku o poruka o pogrešci koja pokazuje razlog i kako možete ispraviti problem. Ako vidite poruku da vanjsko DNS razlučivanje nije bilo uspješno, čvor nije mogao doći do poslužitelj za DNS. Ovaj uvjet se očekuje u mnogim eksplicitnim proxy konfiguracijama. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blocked External DNS Resolution. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način razlučivanja blokiranog vanjskog DNS -a . |
| 5 | Nakon što test veze prođe, za eksplicitni proxy postavljen samo na https, uključite prekidač na Usmjerite sve zahtjeve za port 443/444 https s ovog čvora kroz eksplicitni proxy . Ova postavka zahtijeva 15 sekundi da stupi na snagu. |
| 6 | Kliknite Instalirajte sve certifikate u Trust Store (pojavljuje se za eksplicitni HTTPS proxy ili transparentni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za eksplicitni HTTP proxy), pročitajte upit, a zatim kliknite Instalirajte ako ste spremni. Čvor se ponovno pokreće u roku od nekoliko minuta. |
| 7 | Nakon što se čvor ponovno pokrene, ponovno se prijaviti se ako je potrebno, a zatim otvorite Pregled stranicu za provjeru provjera povezivanja kako biste bili sigurni da su sve u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s vezom, uobičajen je problem da su neke od domena oblaka navedene u uputama za instalaciju blokirane na proxyju. |
Registrirajte prvi čvor u klasteru
Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova koji su raspoređeni kako bi osigurali redundantnost.
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Prijavite se na https://admin.webex.com. |
| 2 | Na izborniku na lijevoj strani zaslona odaberite Usluge . |
| 3 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavite . Pojavljuje se stranica Registriraj hibridni sigurnosni čvor.
|
| 4 | Odaberite da da označite da ste postaviti čvor i da ste spremni za registraciju, a zatim kliknite Dalje . |
| 5 | U prvo polje unesite naziv za klaster kojem želite dodijeliti svoj Hybrid Data Security čvor. Preporučujemo da imenujete klaster na temelju toga gdje se čvorovi klastera geografski nalaze. Primjeri: "San Francisco" ili "New York" ili "Dallas" |
| 6 | U drugo polje unesite internu IP adresa ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Dalje . Ova IP adresa ili FQDN bi se trebali podudarati s IP adresa ili imenom hosta i domenom na kojoj ste se koristili Postavite VM za hibridnu sigurnost podataka . Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
|
| 7 | Kliknite Idite na Node . |
| 8 | Kliknite Nastavi u poruka upozorenja. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup sigurnosnom čvoru hibridnih podataka. Tu potvrđujete da želite svojoj Webex organizaciji dati dopuštenja za pristup vašem čvoru.
|
| 9 | Provjerite Dopustite pristup vašem hibridnom sigurnosnom čvoru podataka potvrdni okvir, a zatim kliknite Nastavi . Vaš je račun potvrđen i poruka "Registracija je dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
|
| 10 | Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Control Hub Hybrid Data Security. Na Hibridna sigurnost podataka stranici, prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.
|
Stvorite i registrirajte više čvorova
| U ovom trenutku, sigurnosne kopije VM-a u kojima ste kreirali Ispunite preduvjete za sigurnost hibridnih podataka su standby hostovi koji se koriste samo u slučaju oporavka od oporavak od katastrofe; do tada nisu registrirani u sustavu. Za detalje pogledajte Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja . |
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Izradite novi virtualno računalo iz OVA, ponavljajući korake u Instalirajte HDS Host OVA . |
| 2 | Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u Postavite VM za hibridnu sigurnost podataka . |
| 3 | Na novom VM-u ponovite korake u Prenesite i montirajte ISO konfiguraciju HDS-a . |
| 4 | Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za proxy integraciju prema potrebi za novi čvor. |
| 5 | Registrirajte čvor. Vaš čvor je registriran. Imajte na umu da dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana.
|
Što učiniti sljedeće
Tijek zadatka od probnog do proizvodnog
Nakon što postaviti hibridni klaster sigurnosti podataka, možete pokrenuti pilot, dodati mu korisnike i početi ga koristiti za testiranje i provjeru svoje implementacije u pripremi za prelazak na proizvodnju.
Prije početka
| 1 | Ako je primjenjivo, sinkronizirajte Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati |
| 2 |
Započnite probu. Dok ne izvršite ovaj zadatak, vaši čvorovi generiraju alarm koji pokazuje da usluga još nije aktivirana. |
| 3 | Testirajte svoju implementaciju sigurnosti hibridnih podataka Provjerite prolaze li ključni zahtjevi vašoj implementaciji Hybrid Data Security. |
| 4 | Pratite zdravlje hibridne sigurnosti podataka Provjerite status i postaviti obavijesti e-poštom za alarme. |
| 5 | |
| 6 | Dovršite probnu fazu jednom od sljedećih radnji: |
Aktivirajte probnu verziju
Prije početka
Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati HdsTrialGroup grupni objekt za sinkronizaciju s oblakom prije nego što možete pokrenuti probnu verziju za svoju organizaciju. Za upute pogledajte Vodič za implementaciju za Cisco Directory Connector.
| 1 | Prijavite se nahttps://admin.webex.com , a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Započni suđenje . Status usluge mijenja se u probni način.
|
| 4 | Kliknite Dodajte korisnike i unesite adresa e-pošte jednog ili više korisnika za pilotiranje korištenjem vaših Hybrid Data Security čvorova za usluge šifriranja i indeksiranja. (Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory za upravljanje probnom grupom, |
Testirajte svoju implementaciju sigurnosti hibridnih podataka
Prije početka
Postavite svoju implementaciju Hybrid Data Security.
Aktivirajte probnu verziju i dodajte nekoliko probnih korisnika.
Osigurajte da imate pristup syslogu kako biste provjerili prosljeđuju li ključni zahtjevi vašoj Hybrid Data Security implementaciji.
| 1 | Ključeve za dati prostor postavlja kreator prostora. Prijavite se u aplikaciju Webex kao jedan od pilot korisnika, a zatim stvorite prostor i pozovite barem jednog pilot korisnika i jednog korisnika koji nije pilot.
| ||
| 2 | Šaljite poruke u novi prostor. | ||
| 3 | Provjerite izlaz syslog kako biste potvrdili da se zahtjevi za ključeve prosljeđuju vašoj Hybrid Data Security implementaciji. |
Pratite zdravlje hibridne sigurnosti podataka
| 1 | u Kontrolno čvorište , odaberite Usluge iz izbornika na lijevoj strani zaslona. |
| 2 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavke . Pojavljuje se stranica Postavke sigurnosti hibridnih podataka.
|
| 3 | U odjeljku Obavijesti e-pošta -poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Uđi . |
Dodajte ili uklonite korisnike iz svoje probne verzije
Ako uklonite korisnika iz probne verzije, korisnikov klijent će zatražiti ključeve i izradu ključeva iz KMS-a u oblaku umjesto vašeg KMS-a. Ako klijent treba ključ koji je pohranjen na vašem KMS-u, KMS u oblaku će ga dohvatiti u ime korisnika.
Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory (umjesto ovog postupka) za upravljanje probnom grupom, HdsTrialGroup; možete vidjeti članove grupe u Control Hubu, ali ih ne možete dodati ili ukloniti.
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Probni način rada u području Status usluge kliknite Dodajte korisnike , ili kliknite pregledati i urediti za uklanjanje korisnika iz probe. |
| 4 | Unesite adresa e-pošte jednog ili više korisnika za dodavanje ili kliknite na X pomoću ID korisnika-a za uklanjanje korisnika iz probe. Zatim kliknite Spremi . |
Prijeđite s probnog na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Prijeđite u produkciju . |
| 4 | Potvrdite da sve svoje korisnike želite premjestiti u produkciju. |
Završite probno razdoblje bez prelaska na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Deaktiviraj kliknite Deaktiviraj . |
| 4 | Potvrdite da želite deaktivirati uslugu i završiti probno razdoblje. |
Upravljajte HDS implementacijom
Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.
Postavite raspored nadogradnje klastera
Za postavljanje rasporeda nadogradnje:
| 1 | Prijavite se na Kontrolno čvorište . |
| 2 | Na stranici Pregled u odjeljku Hibridne usluge odaberite Hibridna sigurnost podataka . |
| 3 | Na stranici Resursi za sigurnost hibridnih podataka odaberite klaster. |
| 4 | Na ploči Pregled s desne strane, u odjeljku Postavke klastera, odaberite naziv klastera. |
| 5 | Na stranici Postavke, u odjeljku Nadogradnja, odaberite vrijeme i vremenska zona za raspored nadogradnje. Napomena: Ispod vremenska zona prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Ako je potrebno, nadogradnju možete odgoditi za sljedeći dan klikom Odgoditi . |
Promijenite konfiguraciju čvora
Promjena x.509 certifikata zbog isteka ili drugih razloga.
Ne podržavamo promjenu naziva CN naziv domene certifikata. Domena mora odgovarati izvornoj domeni korištenoj za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku baze podataka PostgreSQL ili Microsoft SQL Server.
Ne podržavamo migraciju podataka s PostgreSQL na Microsoft SQL Server ili obrnuto. Za promjenu okruženja baze podataka pokrenite novu implementaciju Hybrid Data Security.
Izrada nove konfiguracije za pripremu novog podatkovni centar.
Također, iz sigurnosnih razloga, Hybrid Data Security koristi lozinke račun usluge koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira ove lozinke, postavljate ih na svaki od vaših HDS čvorova u ISO konfiguracijskoj datoteci. Kada se lozinke vaše organizacije bliže isteku, od Webex tima ćete primiti obavijest da poništite lozinku za račun vašeg računala. (E-poruka uključuje tekst "Koristite API računa računala za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam nudi dvije mogućnosti:
Soft reset — Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset —Stare lozinke odmah prestaju raditi.
Ako vaše lozinke istječu bez resetiranja, to utječe na vašu HDS uslugu, zahtijevajući trenutno hard reset i zamjenu ISO datoteke na svim čvorovima.
Koristite ovaj postupak za generiranje nove konfiguracijske ISO datoteke i primjenu na svoj klaster.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem varijabli Docker okruženja kada pokrenete Docker spremnik u 1.e . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTZa generiranje nove konfiguracije potrebna vam je kopija ISO datoteke trenutne konfiguracije. ISO sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.
| 1 | Koristeći Docker na lokalnom računalu, pokrenite alat za postavljanje HDS-a.
| ||||||
| 2 | Ako imate pokrenut samo jedan HDS čvor , stvorite novi VM čvora Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Za detaljnije upute pogledajte Stvorite i registrirajte više čvorova . | ||||||
| 3 | Za postojeće HDS čvorove koji pokreću stariju konfiguracijska datoteka, montirajte ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: | ||||||
| 4 | Ponovite korak 3 da zamijenite konfiguraciju na svakom preostalom čvoru koji izvodi staru konfiguraciju. |
Isključite način razlučivanja blokiranog vanjskog DNS -a
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. Ako poslužitelj za DNS čvora ne može razriješiti javna DNS imena, čvor automatski prelazi u način Blocked External DNS Resolution.
Ako vaši čvorovi mogu razriješiti javna DNS imena putem internih DNS poslužitelja, možete isključiti ovaj način ponovnim pokretanjem testa proxy veze na svakom čvoru.
Prije početka
| 1 | U web-pregledniku otvorite sučelje čvora Hybrid Data Security (IP adresa/postavka, na primjer,https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postaviti za čvor, a zatim kliknite Prijavite se . |
| 2 | Idi na Pregled (zadana stranica). Kada je omogućeno, Blokirana razlučivost vanjskog DNS -a je postavljeno na da . |
| 3 | Idite na Trust Store & Proxy stranica. |
| 4 | Kliknite Provjerite proxy vezu . Ako vidite poruku koja kaže da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do poslužitelj za DNS i ostat će u ovom načinu rada. U suprotnom, nakon što ponovno pokrenete čvor i vratite se na Pregled stranicu, razlučivost blokiranog vanjskog DNS -a treba postaviti na br. |
Što učiniti sljedeće
Uklonite čvor
| 1 | Upotrijebite VMware vSphere klijent na svom računalu da se prijavite na ESXi virtualni host i isključite virtualno računalo. |
| 2 | Uklonite čvor: |
| 3 | U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu, desni klik VM i kliknite Izbriši .) Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup vašim sigurnosnim podacima. |
Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja
Najkritičnija usluga koju pruža vaš hibridni klaster zaštite podataka je izrada i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, zahtjevi za kreiranje novih ključeva preusmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima koji su ovlašteni da ih dohvate, na primjer, članovima prostora za razgovor.
Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, imperativ je da klaster i dalje radi i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO -a koji se koristi za shemu rezultirat će NENAKONOVIM GUBITKOM sadržaja korisnika. Sljedeće prakse su obavezne kako bi se spriječio takav gubitak:
Ako katastrofa prouzrokuje da HDS implementacija u primarnom podatkovni centar postane nedostupna, slijedite ovaj postupak za ručni prijelaz u pričuvni podatkovni centar.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove . | ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranicu, dodajte konfiguraciju u nastavku ili uklonite
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
(Izborno) Isključite ISO nakon HDS konfiguracije
Standardna HDS konfiguracija radi s montiranim ISO . No, neki korisnici više vole ne ostavljati ISO datoteke kontinuirano montirane. Možete isključiti ISO datoteku nakon što svi HDS čvorovi pokupe novu konfiguraciju.
I dalje koristite ISO datoteke za promjenu konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, možete ponovno demontirati ISO ovim postupkom.
Prije početka
Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.
| 1 | Isključite jedan od svojih HDS čvorova. |
| 2 | U vCenter poslužiteljskom uređaju odaberite HDS čvor. |
| 3 | Odaberite i poništite odabir ISO datoteka skladišta podataka . |
| 4 | Uključite HDS čvor i osigurajte da nema alarma najmanje 20 minuta. |
| 5 | Ponovite redom za svaki HDS čvor. |
Pregledajte upozorenja i rješavanje problema
Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi tako sporo da zahtijeva vremensko ograničenje. Ako korisnici ne mogu doći do vašeg hibridnog sigurnosnog klastera podataka, doživljavaju sljedeće simptome:
Ne mogu se stvoriti novi prostori (nije moguće stvoriti nove ključeve)
Poruke i naslovi prostora ne mogu se dešifrirati za:
Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje
Važno je da pravilno nadzirete svoj hibridni klaster sigurnosti podataka i odmah se obratite svim upozorenjima kako biste izbjegli prekid usluge.
Upozorenja
Ako postoji problem s postavkom Hybrid Data Security, Control Hub prikazuje upozorenja organizacijskom administratoru i šalje e-poštu na konfiguriranu adresa e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.
Upozorenje | Radnja |
|---|---|
Neuspjeh pristupa lokalnoj bazi podataka. |
Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom. |
neuspjelo povezivanje s lokalnom bazom podataka. |
Provjerite je li poslužitelj baze podataka dostupan i da su ispravne vjerodajnice račun usluge korištene u konfiguraciji čvora. |
Neuspjeh pristupa usluzi u oblaku. |
Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje . |
Obnavljanje registracije usluge u oblaku. |
Odustala je registracija na usluge u oblaku. Obnova registracije je u tijeku. |
Registracija usluge u oblaku je pala. |
Registracija na usluge u oblaku je prekinuta. Usluga se gasi. |
Usluga još nije aktivirana. |
Aktivirajte probnu verziju ili dovršite premještanje probe u produkciju. |
Konfigurirana domena ne odgovara certifikat poslužitelja. |
Provjerite odgovara li certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja. |
Provjera autentičnosti na uslugama u oblaku nije uspjela. |
Provjerite točnost i mogući istek vjerodajnica račun usluge . |
Otvaranje datoteke lokalnog spremišta ključeva nije uspjelo. |
Provjerite integritet i točnost lozinke u datoteci lokalnog spremišta ključeva. |
certifikat poslužitelja nije važeći. |
Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdalo pouzdano tijelo za izdavač certifikata. |
Nije moguće objaviti mjerne podatke. |
Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku. |
/media/configdrive/hds direktorij ne postoji. |
Provjerite konfiguraciju ISO montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i da li se uspješno montira. |
Rješavanje problema sa sigurnošću hibridnih podataka
| 1 | Pregledajte Control Hub za sva upozorenja i popravite sve stavke koje tamo pronađete. |
| 2 | Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije Hybrid Data Security. |
| 3 | Kontaktirajte Ciscova podrška . |
Poznati problemi za sigurnost hibridnih podataka
Ako zatvorite svoj hibridni klaster za sigurnost podataka (brisanjem u Control Hubu ili isključivanjem svih čvorova), izgubite konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka pohrane ključeva, korisnici vaše Webex aplikacije više ne mogu koristiti prostore pod svojim osobama popis stvorenih ključevima iz vašeg KMS-a. To se odnosi i na probnu i na proizvodnu implementaciju. Trenutačno nemamo rješenje ili rješenje za ovaj problem i pozivamo vas da ne gasite svoje HDS usluge nakon što obrađuju aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu neko vrijeme (vjerojatno jedan sat). Kada korisnik postane član probnog razdoblja Hybrid Data Security, korisnikov klijent nastavlja koristiti postojeću ECDH vezu dok ne istekne. Alternativno, korisnik se može odjaviti se i ponovno prijaviti u aplikaciju Webex App kako bi ažurirao lokaciju koju aplikacija kontaktira za ključeve za šifriranje.
Isto se ponašanje događa kada premjestite probnu verziju u produkciju za organizaciju. Svi neprobni korisnici s postojećim ECDH vezama s prethodnim uslugama sigurnosti podataka nastavit će koristiti te usluge sve dok se ECDH veza ponovno ne pregovara (putem vremenskog ograničenja ili odjavom i ponovnom prijavom).
Koristite OpenSSL za generiranje PKCS12 datoteke
Prije početka
OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja ispunjava zahtjeve certifikata X.509 u X.509 Zahtjevi certifikata . Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. vidihttps://www.openssl.org za softver i dokumentaciju.
Napravite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od vašeg izdavatelja izdavač certifikata (CA).
| 1 | Kada od CA primite certifikat poslužitelja , spremite ga kao |
| 2 | Prikažite certifikat kao tekst i provjerite pojedinosti.
|
| 3 | Koristite uređivač teksta za stvaranje datoteke paketa certifikata pod nazivom
|
| 4 | Napravite .p12 datoteku s prijateljskim imenom
|
| 5 | Provjerite pojedinosti certifikat poslužitelja . |
Što učiniti sljedeće
Vratite se na Ispunite preduvjete za sigurnost hibridnih podataka . Koristit ćete se hdsnode.p12 datoteku i lozinku koju ste za nju postavili u Izradite konfiguracijski ISO za HDS hostove .
| Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada izvorni certifikat istekne. |
Promet između HDS čvorova i oblaka
Odlazni promet prikupljanja mjernih podataka
Čvorovi Hybrid Data Security šalju određene metrike u Webex oblak. To uključuje metriku sustava za maksimalnu količinu hrpe, iskorištenu hrpu, opterećenje CPU -a i broj niti; metrike na sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag enkripcijskih veza, kašnjenje ili duljinu reda zahtjeva; metrika na pohrani podataka; i metriku enkripcije veze. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.
Ulazni promet
Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:
Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora
Konfigurirajte Squid proxy za hibridnu sigurnost podataka
Websocket se ne može povezati putem Squid proxyja
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa ( wss:) veze koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida koje se ignoriraju wss: prometa za pravilan rad usluga.
Lignje 4 i 5
Dodajte on_unsupported_protocol direktiva za squid.conf:
on_unsupported_protocol tunnel allLignje 3.5.27
Uspješno smo testirali hibridnu sigurnost podataka uz dodana sljedeća pravila squid.conf. Ova pravila podložna su promjeni kako razvijamo značajke i ažuriramo Webex oblak.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNove i promijenjene informacije
Datum | Promjene napravljene | ||
|---|---|---|---|
20. listopada 2023 |
| ||
07. kolovoza 2023 |
| ||
23. svibnja 2023 |
| ||
06. prosinca 2022 |
| ||
23. studenog 2022 |
| ||
13. listopada 2021 | Docker Desktop mora pokrenuti program za postavljanje prije nego što možete instalirati HDS čvorove. vidi Zahtjevi za Docker Desktop . | ||
24. lipnja 2021 | Primijetili smo da možete ponovno upotrijebiti datoteku privatnog ključa i CSR da biste zatražili drugi certifikat. vidi Koristite OpenSSL za generiranje PKCS12 datoteke za detalje. | ||
| 30. travnja 2021. | Promijenjen je zahtjev VM -a za lokalni prostor na tvrdom disku na 30 GB. vidi Zahtjevi virtualnog hosta za detalje. | ||
24. veljače 2021 | HDS Setup Tool sada može raditi iza proxyja. vidi Izradite konfiguracijski ISO za HDS hostove za detalje. | ||
2. veljače 2021 | HDS sada može raditi bez montirane ISO datoteke. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje. | ||
11. siječnja 2021 | Dodane su informacije o alatu za postavljanje HDS-a i proxyjima Izradite konfiguracijski ISO za HDS hostove . | ||
13. listopada 2020 | Ažurirano Preuzmite instalacijske datoteke . | ||
8. listopada 2020. | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s naredbama za FedRAMP okruženja. | ||
14. kolovoza 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s promjenama u procesu prijave. | ||
5. kolovoza 2020 | Ažurirano Testirajte svoju implementaciju sigurnosti hibridnih podataka za promjene u porukama dnevnika. Ažurirano Zahtjevi virtualnog hosta za uklanjanje maksimalni broj hostova. | ||
16. lipnja 2020 | Ažurirano Uklonite čvor za promjene u korisničkom sučelju Control Hub. | ||
4. lipnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove za promjene u naprednim postavkama koje biste mogli postaviti. | ||
29. svibnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove kako bismo pokazali da također možete koristiti TLS s bazama podataka SQL Servera, promjenama korisničkog sučelja i drugim pojašnjenjima. | ||
5. svibnja 2020 | Ažurirano Zahtjevi virtualnog hosta prikazati novi zahtjev ESXi 6.5. | ||
21. travnja 2020 | Ažurirano Zahtjevi za vanjsko povezivanje s novim domaćinima Americas CI. | ||
1. travnja 2020. | Ažurirano Zahtjevi za vanjsko povezivanje s informacijama o regionalnim CI domaćinima. | ||
| 20. veljače 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove s informacijama o novom opcionalnom zaslonu naprednih postavki u alatu za postavljanje HDS-a. | ||
| 4. veljače 2020 | Ažurirano Zahtjevi proxy poslužitelja . | ||
| 16. prosinca 2019. | Pojašnjen je zahtjev za rad u načinu razlučivanja blokiranog vanjskog DNS -a Zahtjevi proxy poslužitelja . | ||
| 19. studenog 2019 | Dodane su informacije o načinu razlučivanja blokiranog vanjskog DNS -a u sljedećim odjeljcima: | ||
8. studenog 2019 | Sada možete konfigurirati mrežne postavke za čvor tijekom implementacije OVA umjesto kasnije. U skladu s tim ažurirani su sljedeći odjeljci:
| ||
6. rujna 2019 | Dodan SQL Server Standard u Zahtjevi poslužitelja baze podataka . | ||
| 29. kolovoza 2019. | Dodano Konfigurirajte Squid proxy za hibridnu sigurnost podataka dodatak sa uputama za konfiguriranje Squid proxyja za zanemarivanje prometa websocketa radi ispravnog rada. | ||
| 20. kolovoza 2019 | Dodani i ažurirani odjeljci koji pokrivaju podršku proxyja za komunikacije čvora Hybrid Data Security u oblaku Webex . Da biste pristupili samo sadržaju podrške za proxy za postojeću implementaciju, pogledajte Proxy podrška za hibridnu sigurnost podataka i Webex Video Mesh članak pomoći. | ||
| 13. lipnja 2019 | Ažurirano Tijek zadatka od probnog do proizvodnog s podsjetnikom za sinkronizaciju HdsTrialGroup grupni objekt prije početka probnog postupka ako vaša organizacija koristi sinkronizaciju imenika. | ||
| 6. ožujka 2019 |
| ||
| 28. veljače 2019. |
| ||
| 26. veljače 2019. |
| ||
24. siječnja 2019 |
| ||
| 5. studenog 2018 |
| ||
| 19. listopada 2018 |
| ||
31. srpnja 2018 |
| ||
| 21. svibnja 2018. | Promijenjena terminologija koja odražava rebranding Cisco Spark:
| ||
| 11. travnja 2018 |
| ||
| 22. veljače 2018 |
| ||
| 15. veljače 2018. |
| ||
| 18. siječnja 2018. |
| ||
2. studenog 2017 |
| ||
18. kolovoza 2017 | Prvi put objavljeno |
Pregled sigurnosti hibridnih podataka
Od prvog dana sigurnost podataka je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.
Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom području sigurnosti. Hybrid Data Security premješta KMS i druge sigurnosne funkcije u vaš podaci poduzeća centar, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.
Arhitektura sigurnosnog područja
Webex arhitektura oblaka odvaja različite vrste usluga u zasebne domene ili domene povjerenja, kao što je prikazano u nastavku.
Da bismo bolje razumjeli sigurnost hibridnih podataka, pogledajmo najprije ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje se korisnici mogu izravno povezati s njihovim osobnim podacima kao što je adresa e-pošte, logično je i fizički odvojena od sigurnosnog područja u podatkovni centar B. Obje su zauzvrat odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj , u podatkovni centar C.
U ovom dijagramu klijent je aplikacija Webex koja se izvodi na prijenosnom računalu korisnika i provjerava autentičnost uslugom identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:
Klijent uspostavlja sigurna veza s uslugom upravljanja ključevima (KMS), a zatim zahtijeva ključ za šifriranje poruke. sigurna veza koristi ECDH, a KMS šifrira ključ pomoću AES-256 glavnog ključa.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka je pohranjena u području pohrane.
Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovom području.
Suradnja s drugim organizacijama
Korisnici u vašoj organizaciji mogu redovito koristiti aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak kroz zasebni ECDH kanal kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.
KMS usluga koja radi na organizaciji A provjerava valjanost veza s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. vidi Pripremite svoje okruženje za pojedinosti o generiranju x.509 certifikata za korištenje s vašom Hybrid Data Security implementacijom.
Očekivanja za implementaciju hibridne sigurnosti podataka
Implementacija Hybrid Data Security zahtijeva značajnu predanost korisnika i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.
Za implementaciju Hybrid Data Security morate osigurati:
Siguran podatkovni centar u zemlji koja je podržano mjesto za planove Cisco Webex Teams .
Oprema, softver i pristup mreži opisani u Pripremite svoje okruženje .
Potpuni gubitak bilo ISO konfiguracije koju ste izgradili za Hybrid Data Security ili baze podataka koju ste dali rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex . Ako se to dogodi, možete napraviti novu implementaciju, ali će biti vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:
Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO konfiguracije.
Budite spremni izvesti brzi oporavak od katastrofe od katastrofe ako se dogodi katastrofa, kao što je kvar diska baze podataka ili katastrofa podatkovni centar .
| Ne postoji mehanizam za premještanje ključeva natrag u oblak nakon implementacije HDS-a. |
Proces postavljanja na visokoj razini
Ovaj dokument pokriva postavljanje i upravljanje Hybrid Data Security implementacijom:
Postavite hibridnu sigurnost podataka —To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, testiranje vaše implementacije s podskupom korisnika u probnom načinu rada i, nakon što je testiranje završeno, prelazak na proizvodnju. To pretvara cijelu organizaciju da koristi vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.
Faze postavljanja, ispitivanja i proizvodnje detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju Hybrid Data Security — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku razine jedan za ovu implementaciju i angažirati Ciscova podrška prema potrebi. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Control Hubu.
Razumjeti uobičajena upozorenja, korake za rješavanje problema i poznate probleme —Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Security, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći da utvrdite i riješite problem.
Model implementacije hibridne sigurnosti podataka
Unutar vašeg podaci poduzeća centra postavljate Hybrid Data Security kao jedan klaster čvorova na zasebnim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih webutičnica i sigurnog HTTP-a.
Tijekom procesa instalacije dajemo vam OVA datoteku za postaviti virtualnog uređaja na VM-ovima koje ste dali. Koristite alat za postavljanje HDS-a za stvaranje ISO datoteke prilagođene konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš osigurani Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Podatke o Syslogd-u i vezi s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)
Minimalni broj čvorova koji možete imati u klasteru je dva. Preporučujemo najmanje tri, a možete imati i do pet. Posjedovanje više čvorova osigurava da usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. ( Webex oblak nadograđuje samo jedan po jedan čvor.)
Svi čvorovi u klasteru pristupaju istoj pohrani ključeva i bilježe aktivnost na istom poslužitelju syslog. Sami čvorovi su bez državljanstva i rješavaju ključne zahtjeve na kružni način, prema uputama oblaka.
Čvorovi postaju aktivni kada ih registrirate u Control Hubu. Da biste isključili pojedini čvor iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.
Podržavamo samo jedan klaster po organizaciji.
Probni način sigurnosti hibridnih podataka
Nakon postavljanja implementacije Hybrid Data Security, prvo je isprobate s skupom pilot korisnika. Tijekom probnog razdoblja, ti korisnici koriste vašu lokalnu domenu Hybrid Data Security za ključeve za šifriranje i druge usluge sigurnosnog područja. Vaši drugi korisnici nastavljaju koristiti područje sigurnosti u oblaku.
Ako odlučite ne nastaviti s implementacijom tijekom probnog razdoblja i deaktivirati uslugu, pilot korisnici i svi korisnici s kojima su stupili u interakciju stvaranjem novih prostora tijekom probnog razdoblja izgubit će pristup porukama i sadržaju. Vidjet će "Ovu poruku nije moguće dešifrirati" u aplikaciji Webex .
Ako ste zadovoljni da vaša implementacija dobro funkcionira za probne korisnike i spremni ste proširiti Hybrid Data Security na sve svoje korisnike, premjestite implementaciju u produkciju. Korisnici pilota i dalje imaju pristup ključevima koji su bili u upotrebi tijekom probnog razdoblja. Međutim, ne možete se kretati naprijed-natrag između proizvodnog načina i izvorne probne verzije. Ako morate deaktivirati uslugu, kao što je izvođenje oporavak od katastrofe od katastrofe, kada ponovno aktivirate, morate pokrenuti novu probnu verziju i postaviti skup pilot korisnika za novo probno razdoblje prije nego što se vratite u proizvodni način rada. Hoće li korisnici zadržati pristup podacima u ovom trenutku ovisi o tome jeste li uspješno održavali sigurnosne kopije pohrana podataka i ISO konfiguracijska datoteka za čvorove Hybrid Data Security u vašem klasteru.
Podatkovni centar u stanju pripravnosti za oporavak od katastrofe
Tijekom implementacije postaviti sigurni podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovni centar , možete ručno ne uspjeti svoju implementaciju u podatkovni centar u stanju pripravnosti.
Baze podataka aktivnih i pričuvnih podatkovnih centara međusobno su sinkronizirane, što će minimizirati vrijeme potrebno za izvođenje prebacivanja. ISO datoteka podatkovni centar u stanju čekanja ažurira se dodatnim konfiguracijama koje osiguravaju da su čvorovi registrirani u organizaciji, ali neće upravljati prometom. Stoga čvorovi podatkovni centar u stanju čekanja uvijek ostaju ažurirani s najnovijom verzijom HDS softvera.
| Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovni centar kao i aktivni poslužitelj baze podataka. |
Postavite podatkovni centar u stanju čekanja za oporavak od katastrofe
Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovni centar u stanju čekanja:
Prije početka
podatkovni centar u stanju čekanja trebao bi odražavati proizvodno okruženje VM-a i sigurnosnu kopiju baze podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. (Vidi Podatkovni centar u stanju pripravnosti za oporavak od katastrofe za pregled ovog modela prelaska na kvar.)
Provjerite je li sinkronizacija baze podataka omogućena između baze podataka aktivnih i pasivnih čvorova klastera.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove .
| ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranici, dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom.
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
Nakon konfiguriranja passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez passiveMode konfiguraciju i spremite je na sigurno mjesto. Ova kopija ISO datoteke bez passiveMode konfigurirano može pomoći u brzom procesu prelaska na kvar tijekom oporavak od katastrofe od katastrofe. vidi Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja za detaljan postupak prelaska na grešku.
Podrška za proxy
Hibridna sigurnost podataka podržava eksplicitne, transparentne proxy i neinspekciju proxyja. Ove proxy servere možete povezati sa svojom implementacijom tako da možete osigurati i pratiti promet iz poduzeća u oblak. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru ukupnog statusa povezivanja nakon što postaviti proxy na čvorove.
Čvorovi Hybrid Data Security podržavaju sljedeće proxy opcije:
Nema proxyja —Zadana postavka ako ne koristite konfiguraciju HDS čvora Trust Store & Proxy za integraciju proxyja. Nije potrebno ažuriranje certifikata.
Transparentni proxy bez inspekcije — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata.
Transparentno tuneliranje ili proxy za inspekciju — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj . Na čvorovima nisu potrebne promjene konfiguracije HTTP ili HTTPS. Međutim, čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. Proxy proxy obično koristi IT za provođenje pravila o tome koja web-mjesta mogu biti posjećena i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy —S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu provjere autentičnosti da koriste. Da biste konfigurirali eksplicitni proxy, morate unijeti sljedeće podatke na svakom čvoru:
Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy stroju.
Proxy priključak —Broj porta koji proxy koristi za slušanje proxy prometa.
Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
HTTP—Pregledava i kontrolira sve zahtjeve koje klijent šalje.
HTTPS—pruža kanal za poslužitelj. Klijent prima i potvrđuje certifikat poslužitelja.
vrsta provjere autentičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
Ništa — nije potrebna daljnja provjera autentičnosti.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Osnovni —Koristi se za HTTP korisnički agent za davanje korisničkog imena i lozinke prilikom postavljanja zahtjeva. Koristi Base64 kodiranje.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Sažetak — Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže.
Dostupno samo ako odaberete HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Primjer hibridnih čvorova za sigurnost podataka i proxyja
Ovaj dijagram prikazuje primjer veze između Hybrid Data Security, mreže i proxyja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru proxy opcija, isti korijenski certifikat mora biti instaliran na proxy i na čvorovima Hybrid Data Security.
Blokirani način razlučivanja vanjskog DNS -a (eksplicitne proxy konfiguracije)
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. U implementacijama s eksplicitnim proxy konfiguracijama koje ne dopuštaju vanjsko DNS razlučivanje za interne klijente, ako čvor ne može upitati DNS poslužitelje, automatski prelazi u način Blocked External DNS Resolution. U ovom načinu može se nastaviti registracija čvora i drugi testovi proxy povezivanja.
Zahtjevi za hibridnu sigurnost podataka
Zahtjevi za licencu Cisco Webex
Za implementaciju hibridne sigurnosti podataka:
Morate imati Pro Pack za Cisco Webex Control Hub. (Vidihttps://www.cisco.com/go/pro-pack .)
Zahtjevi za Docker Desktop
Prije nego što instalirate svoje HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša organizacija može zahtijevati plaćenu pretplatu za Docker Desktop. Za detalje pogledajte post na blogu Docker, " Docker ažurira i proširuje naše pretplate na proizvode ".
X.509 Zahtjevi certifikata
lanac certifikata mora ispunjavati sljedeće zahtjeve:
Uvjet | Pojedinosti |
|---|---|
| Prema zadanim postavkama, vjerujemo CA-ovima na Mozilla popisu (s izuzetkom WoSign i StartCom) nahttps://wiki.mozilla.org/CA:IncludedCAs . |
| CN ne mora biti dostupan niti biti domaćin uživo. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, CN ne smije sadržavati * (zamjenski znak). CN se koristi za provjeru čvorova Hybrid Data Security za klijente Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što ste registrirali čvor s ovim certifikatom, ne podržavamo promjenu naziva CN naziv domene. Odaberite domenu koja se može primijeniti i na probnu i na proizvodnu implementaciju. |
| KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija. |
| Možete koristiti pretvarač kao što je OpenSSL za promjenu formata certifikata. Morat ćete unijeti lozinku kada pokrenete HDS Setup Tool. |
KMS softver ne provodi korištenje ključa ili proširena ograničenja upotrebe ključa. Neka tijela za izdavanje certifikata zahtijevaju da se proširena ograničenja upotrebe ključa primjenjuju na svaki certifikat, kao što je provjera autentičnosti poslužitelja. U redu je koristiti provjeru autentičnosti poslužitelja ili druge postavke.
Zahtjevi virtualnog hosta
Virtualni hostovi koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru imaju sljedeće zahtjeve:
Najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar
VMware ESXi 6.5 (ili noviji) je instaliran i radi.
Morate nadograditi ako imate stariju verziju ESXi.
Najmanje 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju
Zahtjevi poslužitelja baze podataka
| Napravite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka. |
Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:
PostgreSQL | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) | Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) |
HDS softver trenutno instalira sljedeće verzije drajvera za komunikaciju s poslužitelj baze podataka:
PostgreSQL | Microsoft SQL Server |
|---|---|
Postgres JDBC drajver 42.2.5 | SQL Server JDBC upravljački program 4.6 Ova verzija upravljačkog programa podržava SQL Server Always On ( Uvijek uključene instance klastera za napuštanje greške i Grupe dostupnosti Always On ). |
Dodatni zahtjevi za Windows autentifikaciju na Microsoft SQL Serveru
Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:
HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje dajete HDS čvorovima moraju moći riješiti vaš centar za distribuciju ključeva (KDC).
Instancu baze podataka HDS možete registrirati na svom Microsoft SQL Serveru kao naziv principala usluge (SPN) na vašem Active Directory. vidi Registrirajte naziv glavne usluge za Kerberos veze .
Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za izradu SPN-a kada traže pristup s Kerberos provjerom autentičnosti.
Zahtjevi za vanjsko povezivanje
Konfigurirajte svoj vatrozid da omogući sljedeće povezivanje za HDS aplikacije:
Aplikacija | Protokol | Priključak | Smjer iz aplikacije | Odredište |
|---|---|---|---|---|
Čvorovi hibridne sigurnosti podataka | TCP | 443 | Odlazni HTTPS i WSS |
|
Alat za postavljanje HDS-a | TCP | 443 | Odlazni HTTPS |
|
| Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze na odredišta domene u prethodnoj tablici. Za veze koje ulaze u čvorove Hybrid Data Security, nikakvi portovi ne bi trebali biti vidljivi s interneta. Unutar vašeg podatkovni centar, klijenti trebaju pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe. |
URL-ovi za hostove zajedničkog identiteta (CI) su specifični za regiju. Ovo su trenutni CI hostovi:
Regija | Uobičajeni URL-ovi hosta identiteta |
|---|---|
Južna i Sjeverna Amerika |
|
Europska unija |
|
Kanada |
|
Zahtjevi proxy poslužitelja
Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim Hybrid Data Security čvorovima.
Transparentni proxy— Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Da biste zaobišli ovaj problem, pogledajte Konfigurirajte Squid proxy za hibridnu sigurnost podataka .
Podržavamo sljedeće kombinacije tipova provjere autentičnosti za eksplicitne proxy servere:
Nema provjere autentičnosti s HTTP ili HTTPS
Osnovna provjera autentičnosti s HTTP ili HTTPS
Digest autentifikacija samo s HTTPS-om
Za transparentni proxy proxy ili HTTPS eksplicitni proxy, morate imati kopiju korijenski certifikat proxyja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u skladišta povjerenja čvorova Hybrid Data Security.
Mreža koja hostira HDS čvorove mora biti konfigurirana da prisili izlazni TCP promet na portu 443 da usmjeri kroz proxy.
Proksiji koji provjeravaju web promet mogu ometati veze web utičnice. Ako se ovaj problem pojavi, zaobići (ne provjeravati) promet do
wbx2.comiciscospark.comriješit će problem.
Ispunite preduvjete za sigurnost hibridnih podataka
| 1 | Provjerite je li vaša Webex organizacija omogućena za Pro Pack za Cisco Webex Control Hub i pribavite vjerodajnice računa s punim administratorskim pravima organizacije. Obratite se svom Cisco partneru ili upravitelju računa za pomoć u ovom procesu. | ||
| 2 | Odaberite naziv domene za svoju HDS implementaciju (na primjer, | ||
| 3 | Pripremite identične virtualne hostove koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru. Potrebna su vam najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar koji ispunjavaju zahtjeve u Zahtjevi virtualnog hosta . | ||
| 4 | Pripremite poslužitelj baze podataka koji će djelovati kao ključna pohrana podataka za klaster, prema Zahtjevi poslužitelja baze podataka . Poslužitelj poslužitelj baze podataka mora biti smješten u sigurnom podatkovni centar s virtualnim hostovima. | ||
| 5 | Za brzi oporavak od katastrofe od katastrofe, postaviti okruženje za sigurnosnu kopiju u drugom podatkovni centar. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-a i poslužitelj baze podataka sigurnosne kopije. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. | ||
| 6 | Postavite host syslog za prikupljanje zapisnika s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514). | ||
| 7 | Napravite sigurnosno sigurnosno kopiranje za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepopravljiv gubitak podataka, morate sigurnosno kopirati bazu podataka i konfiguracijsku ISO datoteku generiranu za čvorove Hybrid Data Security.
Klijenti aplikacije Webex spremaju svoje ključeve, tako da kvar možda neće biti odmah uočljiv, ali će s vremenom postati očigledan. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima o korisnicima. Od operatera čvorova Hybrid Data Security se očekuje da održavaju česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te da budu spremni za ponovnu izgradnju podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara. | ||
| 8 | Osigurajte da konfiguracija vatrozida dopušta povezivanje za vaše čvorove Hybrid Data Security kao što je navedeno Zahtjevi za vanjsko povezivanje . | ||
| 9 | Instaliraj Docker (https://www.docker.com ) na bilo kojem lokalnom računalu s podržanim OS (Microsoft Windows 10 Professional ili Enterprise 64-bit, ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Instancu Dockera koristite za preuzimanje i pokretanje alata za postavljanje HDS-a, koji gradi konfiguracijska informacija za sve čvorove Hybrid Data Security. Vaša organizacija možda treba licencu za Docker Desktop. vidi Zahtjevi za Docker Desktop za više informacija. Da biste instalirali i pokrenuli alat za postavljanje HDS-a, lokalni stroj mora imati opisanu povezanost Zahtjevi za vanjsko povezivanje . | ||
| 10 | Ako integrirate proxy s Hybrid Data Security, provjerite zadovoljava li Zahtjevi proxy poslužitelja . | ||
| 11 | Ako vaša organizacija koristi sinkronizaciju imenika, stvorite grupu u Active Directory pod nazivom
|
Tijek zadatka implementacije hibridne sigurnosti podataka
Prije početka
| 1 | Preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoj lokalni stroj za kasniju upotrebu. | ||
| 2 | Izradite konfiguracijski ISO za HDS hostove Koristite alat za postavljanje HDS-a za stvaranje ISO konfiguracijska datoteka za čvorove Hybrid Data Security. | ||
| 3 |
Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke.
| ||
| 4 | Postavite VM za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. | ||
| 5 | Prenesite i montirajte ISO konfiguraciju HDS-a Konfigurirajte VM iz ISO konfiguracijska datoteka koju ste kreirali pomoću alata za postavljanje HDS-a. | ||
| 6 | Konfigurirajte HDS čvor za proxy integraciju Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u skladište povjerenja ako je potrebno. | ||
| 7 | Registrirajte prvi čvor u klasteru Registrirajte VM u oblaku Cisco Webex kao čvor za hibridnu sigurnost podataka. | ||
| 8 | Stvorite i registrirajte više čvorova Dovršite postavljanje klastera. | ||
| 9 | Pokrenite probnu verziju i prijeđite u produkciju (sljedeće poglavlje) Dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana. |
Preuzmite instalacijske datoteke
| 1 | Prijavite se nahttps://admin.webex.com , a zatim kliknite Usluge . | ||||
| 2 | U odjeljku Hybrid Services pronađite karticu Hybrid Data Security, a zatim kliknite Postavite . Ako je kartica onemogućena ili je ne vidite, obratite se svom timu za račun ili partnerskoj organizaciji. Dajte im broj svog računa i zamolite da omogućite svoju organizaciju za sigurnost hibridnih podataka. Da biste pronašli broj računa, kliknite zupčanik u gornjem desnom kutu, pored naziva svoje organizacije.
| ||||
| 3 | Odaberite ne kako biste naznačili da još niste postaviti čvor, a zatim kliknite Dalje . OVA datoteka automatski počinje preuzimati. Spremite datoteku na mjesto na vašem računalu.
| ||||
| 4 | Po želji, kliknite Otvorite Vodič za implementaciju da provjerite postoji li dostupna novija verzija ovog vodiča. |
Izradite konfiguracijski ISO za HDS hostove
Proces postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg hosta Hybrid Data Security.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) kroz varijable Docker okruženja kada u koraku otvorite Docker spremnik 5 . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTKonfiguracijska ISO datoteka koju generirate sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. Potrebna vam je najnovija kopija ove datoteke svaki put kada izvršite promjene u konfiguraciji, poput ovih:
Vjerodajnice baze podataka
Ažuriranja certifikata
Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postaviti svoju implementaciju PostgreSQL ili SQL Server za TLS.
| 1 | U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima:
| ||||||||||||
| 2 | Da biste se prijaviti se registar Docker slika, unesite sljedeće: | ||||||||||||
| 3 | Na upit za lozinku unesite ovaj hash: | ||||||||||||
| 4 | Preuzmite najnoviju stabilnu sliku za svoje okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima: | ||||||||||||
| 5 | Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:
Kada je spremnik pokrenut, vidite "Ekspresno slušanje poslužitelja na portu 8080." | ||||||||||||
| 6 |
Upotrijebite web preglednik da idite na lokalni host, Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat tada prikazuje standardni upit za prijavu. | ||||||||||||
| 7 | Kada se to od vas zatraži, unesite svoje vjerodajnice za prijavu administratora korisničkog centra Control Hub, a zatim kliknite Prijavite se kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security. | ||||||||||||
| 8 | Na stranici Pregled alata za postavljanje kliknite Započnite . | ||||||||||||
| 9 | Na ISO uvoz stranicu, imate ove opcije:
| ||||||||||||
| 10 | Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 Zahtjevi certifikata .
| ||||||||||||
| 11 | Unesite adresu baze podataka i račun za HDS za pristup vašoj ključnoj pohrani podataka: | ||||||||||||
| 12 | Odaberite a TLS način povezivanja baze podataka :
Kada prenesete korijenski certifikat (ako je potrebno) i kliknite Nastavi , HDS Setup Tool testira TLS vezu s poslužitelj baze podataka. Alat također provjerava potpisnika certifikata i ime hosta, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o poruka o pogrešci opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s postavljanjem. (Zbog razlika u povezivanju, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je stroj alata za postavljanje HDS-a ne može uspješno testirati.) | ||||||||||||
| 13 | Na stranici System Logs, konfigurirajte svoj Syslogd poslužitelj: | ||||||||||||
| 14 | (Izborno) Možete promijeniti zadana vrijednost za neke parametre povezivanja baze podataka u Napredne postavke . Općenito, ovaj parametar je jedini koji biste možda željeli promijeniti: | ||||||||||||
| 15 | Kliknite Nastavi na Poništi lozinku za račune usluge zaslon. Lozinke računa usluge imaju vijek trajanja od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite poništiti kako biste poništili prethodne ISO datoteke. | ||||||||||||
| 16 | Kliknite Preuzmite ISO datoteku . Spremite datoteku na mjesto koje je lako pronaći. | ||||||||||||
| 17 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||||||||||||
| 18 | Da biste isključili alat za postavljanje, upišite |
Što učiniti sljedeće
Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za promjenu konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.
| Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite. |
Instalirajte HDS Host OVA
| 1 | Upotrijebite VMware vSphere klijent na svom računalu za prijavu na ESXi virtualni host. | ||||||
| 2 | Odaberite Datoteka > Postavite OVF predložak . | ||||||
| 3 | U čarobnjaku navedite mjesto OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje . | ||||||
| 4 | Na Odaberite naziv i mapu stranicu, unesite a Naziv virtualnog stroja za čvor (na primjer, "HDS_ Node_ 1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualno računalo , a zatim kliknite Dalje . | ||||||
| 5 | Na Odaberite računalni resurs stranicu, odaberite odredišni računalni resurs, a zatim kliknite Dalje . Pokreće se provjera valjanosti. Nakon što završi, pojavljuju se detalji predloška. | ||||||
| 6 | Provjerite detalje predloška, a zatim kliknite Dalje . | ||||||
| 7 | Ako se od vas traži da odaberete konfiguraciju resursa na Konfiguracija stranicu, kliknite 4 CPU a zatim kliknite Dalje . | ||||||
| 8 | Na Odaberite pohranu stranicu, kliknite Dalje za prihvaćanje zadanog formata diska i pravila pohrane VM -a. | ||||||
| 9 | Na Odaberite mreže na stranici, odaberite opciju mreže s popisa unosa kako biste pružili željenu povezanost s VM-om. | ||||||
| 10 | Na Prilagodite predložak stranicu, konfigurirajte sljedeće mrežne postavke:
Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti upute Postavite VM za hibridnu sigurnost podataka za konfiguriranje postavki s konzole čvora.
| ||||||
| 11 | Desnom tipkom miša kliknite VM čvora, a zatim odaberite . Softver Hybrid Data Security instalira se kao gost na VM Host. Sada ste spremni za prijaviti se na konzolu i konfiguriranje čvora. Savjeti za rješavanje problema Možda ćete doživjeti kašnjenje od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka bridge firewall-a pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti se. |
Postavite VM za hibridnu sigurnost podataka
Upotrijebite ovaj postupak da se prvi put prijaviti se na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.
| 1 | U VMware vSphere klijentu odaberite svoj Hybrid Data Security čvor VM i odaberite Konzola tab. VM se pokreće i pojavljuje se prompt za prijavu. Ako se prompt za prijavu ne prikaže, pritisnite Uđi .
|
| 2 | Za prijaviti se i promjenu vjerodajnica koristite sljedeću zadanu prijavu i lozinku: Budući da se prvi put prijavljujete na svoj VM , morate promijeniti lozinku administratora. |
| 3 | Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA , preskočite ostatak ovog postupka. Inače, u glavni izbornik odaberite Uredi konfiguraciju opcija. |
| 4 | Postavite statičku konfiguraciju s IP adresa, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresa i DNS naziv. DHCP nije podržan. |
| 5 | (Neobavezno) Promijenite naziv hosta, domenu ili NTP poslužitelj(e) ako je potrebno da odgovara vašim mrežnim pravilima. Ne morate postaviti domenu da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. |
| 6 | Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu. |
Prenesite i montirajte ISO konfiguraciju HDS-a
Prije početka
Budući da ISO datoteka sadrži glavni ključ, trebala bi biti izložena samo na temelju "treba znati" za pristup VM-ovima Hybrid Data Security i svim administratorima koji bi mogli unijeti promjene. Provjerite da samo ti administratori mogu pristupiti spremištu podataka.
| 1 | Prenesite ISO datoteku sa svog računala: |
| 2 | Montirajte ISO datoteku: |
Što učiniti sljedeće
Ako vaša IT politika zahtijeva, možete po želji demontirati ISO datoteku nakon što svi vaši čvorovi poprime promjene konfiguracije. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje.
Konfigurirajte HDS čvor za proxy integraciju
Ako mrežno okruženje zahtijeva proxy, upotrijebite ovaj postupak za navođenje vrste proxyja koji želite integrirati s Hybrid Data Security. Ako odaberete transparentni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instalaciju korijenski certifikat. Također možete provjeriti proxy vezu sa sučelja i riješiti sve potencijalne probleme.
Prije početka
vidi Podrška za proxy za pregled podržanih proxy opcija.
| 1 | Unesite URL za postavljanje HDS čvora |
| 2 | Idi na Trust Store & Proxy , a zatim odaberite opciju:
Slijedite sljedeće korake za transparentni proxy proxy, eksplicitni HTTP proxy s osnovnom provjerom autentičnosti ili eksplicitni HTTPS proxy. |
| 3 | Kliknite Prenesite korijenski certifikat ili certifikat krajnjeg entiteta , a zatim idite na odabir korijenski certifikat za proxy. Certifikat je učitan, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu u obliku ševrona uz naziv izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku. |
| 4 | Kliknite Provjerite proxy vezu za testiranje mrežne povezanosti između čvora i proxyja. Ako test veze ne uspije, vidjet ćete poruku o poruka o pogrešci koja pokazuje razlog i kako možete ispraviti problem. Ako vidite poruku da vanjsko DNS razlučivanje nije bilo uspješno, čvor nije mogao doći do poslužitelj za DNS. Ovaj uvjet se očekuje u mnogim eksplicitnim proxy konfiguracijama. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blocked External DNS Resolution. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način razlučivanja blokiranog vanjskog DNS -a . |
| 5 | Nakon što test veze prođe, za eksplicitni proxy postavljen samo na https, uključite prekidač na Usmjerite sve zahtjeve za port 443/444 https s ovog čvora kroz eksplicitni proxy . Ova postavka zahtijeva 15 sekundi da stupi na snagu. |
| 6 | Kliknite Instalirajte sve certifikate u Trust Store (pojavljuje se za eksplicitni HTTPS proxy ili transparentni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za eksplicitni HTTP proxy), pročitajte upit, a zatim kliknite Instalirajte ako ste spremni. Čvor se ponovno pokreće u roku od nekoliko minuta. |
| 7 | Nakon što se čvor ponovno pokrene, ponovno se prijaviti se ako je potrebno, a zatim otvorite Pregled stranicu za provjeru provjera povezivanja kako biste bili sigurni da su sve u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s vezom, uobičajen je problem da su neke od domena oblaka navedene u uputama za instalaciju blokirane na proxyju. |
Registrirajte prvi čvor u klasteru
Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova koji su raspoređeni kako bi osigurali redundantnost.
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Prijavite se na https://admin.webex.com. |
| 2 | Na izborniku na lijevoj strani zaslona odaberite Usluge . |
| 3 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavite . Pojavljuje se stranica Registriraj hibridni sigurnosni čvor.
|
| 4 | Odaberite da da označite da ste postaviti čvor i da ste spremni za registraciju, a zatim kliknite Dalje . |
| 5 | U prvo polje unesite naziv za klaster kojem želite dodijeliti svoj Hybrid Data Security čvor. Preporučujemo da imenujete klaster na temelju toga gdje se čvorovi klastera geografski nalaze. Primjeri: "San Francisco" ili "New York" ili "Dallas" |
| 6 | U drugo polje unesite internu IP adresa ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Dalje . Ova IP adresa ili FQDN bi se trebali podudarati s IP adresa ili imenom hosta i domenom na kojoj ste se koristili Postavite VM za hibridnu sigurnost podataka . Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
|
| 7 | Kliknite Idite na Node . |
| 8 | Kliknite Nastavi u poruka upozorenja. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup sigurnosnom čvoru hibridnih podataka. Tu potvrđujete da želite svojoj Webex organizaciji dati dopuštenja za pristup vašem čvoru.
|
| 9 | Provjerite Dopustite pristup vašem hibridnom sigurnosnom čvoru podataka potvrdni okvir, a zatim kliknite Nastavi . Vaš je račun potvrđen i poruka "Registracija je dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
|
| 10 | Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Control Hub Hybrid Data Security. Na Hibridna sigurnost podataka stranici, prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.
|
Stvorite i registrirajte više čvorova
| U ovom trenutku, sigurnosne kopije VM-a u kojima ste kreirali Ispunite preduvjete za sigurnost hibridnih podataka su standby hostovi koji se koriste samo u slučaju oporavka od oporavak od katastrofe; do tada nisu registrirani u sustavu. Za detalje pogledajte Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja . |
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Izradite novi virtualno računalo iz OVA, ponavljajući korake u Instalirajte HDS Host OVA . |
| 2 | Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u Postavite VM za hibridnu sigurnost podataka . |
| 3 | Na novom VM-u ponovite korake u Prenesite i montirajte ISO konfiguraciju HDS-a . |
| 4 | Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za proxy integraciju prema potrebi za novi čvor. |
| 5 | Registrirajte čvor. Vaš čvor je registriran. Imajte na umu da dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana.
|
Što učiniti sljedeće
Tijek zadatka od probnog do proizvodnog
Nakon što postaviti hibridni klaster sigurnosti podataka, možete pokrenuti pilot, dodati mu korisnike i početi ga koristiti za testiranje i provjeru svoje implementacije u pripremi za prelazak na proizvodnju.
Prije početka
| 1 | Ako je primjenjivo, sinkronizirajte Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati |
| 2 |
Započnite probu. Dok ne izvršite ovaj zadatak, vaši čvorovi generiraju alarm koji pokazuje da usluga još nije aktivirana. |
| 3 | Testirajte svoju implementaciju sigurnosti hibridnih podataka Provjerite prolaze li ključni zahtjevi vašoj implementaciji Hybrid Data Security. |
| 4 | Pratite zdravlje hibridne sigurnosti podataka Provjerite status i postaviti obavijesti e-poštom za alarme. |
| 5 | |
| 6 | Dovršite probnu fazu jednom od sljedećih radnji: |
Aktivirajte probnu verziju
Prije početka
Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati HdsTrialGroup grupni objekt za sinkronizaciju s oblakom prije nego što možete pokrenuti probnu verziju za svoju organizaciju. Za upute pogledajte Vodič za implementaciju za Cisco Directory Connector.
| 1 | Prijavite se nahttps://admin.webex.com , a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Započni suđenje . Status usluge mijenja se u probni način.
|
| 4 | Kliknite Dodajte korisnike i unesite adresa e-pošte jednog ili više korisnika za pilotiranje korištenjem vaših Hybrid Data Security čvorova za usluge šifriranja i indeksiranja. (Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory za upravljanje probnom grupom, |
Testirajte svoju implementaciju sigurnosti hibridnih podataka
Prije početka
Postavite svoju implementaciju Hybrid Data Security.
Aktivirajte probnu verziju i dodajte nekoliko probnih korisnika.
Osigurajte da imate pristup syslogu kako biste provjerili prosljeđuju li ključni zahtjevi vašoj Hybrid Data Security implementaciji.
| 1 | Ključeve za dati prostor postavlja kreator prostora. Prijavite se u aplikaciju Webex kao jedan od pilot korisnika, a zatim stvorite prostor i pozovite barem jednog pilot korisnika i jednog korisnika koji nije pilot.
| ||
| 2 | Šaljite poruke u novi prostor. | ||
| 3 | Provjerite izlaz syslog kako biste potvrdili da se zahtjevi za ključeve prosljeđuju vašoj Hybrid Data Security implementaciji. |
Pratite zdravlje hibridne sigurnosti podataka
| 1 | u Kontrolno čvorište , odaberite Usluge iz izbornika na lijevoj strani zaslona. |
| 2 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavke . Pojavljuje se stranica Postavke sigurnosti hibridnih podataka.
|
| 3 | U odjeljku Obavijesti e-pošta -poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Uđi . |
Dodajte ili uklonite korisnike iz svoje probne verzije
Ako uklonite korisnika iz probne verzije, korisnikov klijent će zatražiti ključeve i izradu ključeva iz KMS-a u oblaku umjesto vašeg KMS-a. Ako klijent treba ključ koji je pohranjen na vašem KMS-u, KMS u oblaku će ga dohvatiti u ime korisnika.
Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory (umjesto ovog postupka) za upravljanje probnom grupom, HdsTrialGroup; možete vidjeti članove grupe u Control Hubu, ali ih ne možete dodati ili ukloniti.
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Probni način rada u području Status usluge kliknite Dodajte korisnike , ili kliknite pregledati i urediti za uklanjanje korisnika iz probe. |
| 4 | Unesite adresa e-pošte jednog ili više korisnika za dodavanje ili kliknite na X pomoću ID korisnika-a za uklanjanje korisnika iz probe. Zatim kliknite Spremi . |
Prijeđite s probnog na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Prijeđite u produkciju . |
| 4 | Potvrdite da sve svoje korisnike želite premjestiti u produkciju. |
Završite probno razdoblje bez prelaska na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Deaktiviraj kliknite Deaktiviraj . |
| 4 | Potvrdite da želite deaktivirati uslugu i završiti probno razdoblje. |
Upravljajte HDS implementacijom
Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.
Postavite raspored nadogradnje klastera
Za postavljanje rasporeda nadogradnje:
| 1 | Prijavite se na Kontrolno čvorište . |
| 2 | Na stranici Pregled u odjeljku Hibridne usluge odaberite Hibridna sigurnost podataka . |
| 3 | Na stranici Resursi za sigurnost hibridnih podataka odaberite klaster. |
| 4 | Na ploči Pregled s desne strane, u odjeljku Postavke klastera, odaberite naziv klastera. |
| 5 | Na stranici Postavke, u odjeljku Nadogradnja, odaberite vrijeme i vremenska zona za raspored nadogradnje. Napomena: Ispod vremenska zona prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Ako je potrebno, nadogradnju možete odgoditi za sljedeći dan klikom Odgoditi . |
Promijenite konfiguraciju čvora
Promjena x.509 certifikata zbog isteka ili drugih razloga.
Ne podržavamo promjenu naziva CN naziv domene certifikata. Domena mora odgovarati izvornoj domeni korištenoj za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku baze podataka PostgreSQL ili Microsoft SQL Server.
Ne podržavamo migraciju podataka s PostgreSQL na Microsoft SQL Server ili obrnuto. Za promjenu okruženja baze podataka pokrenite novu implementaciju Hybrid Data Security.
Izrada nove konfiguracije za pripremu novog podatkovni centar.
Također, iz sigurnosnih razloga, Hybrid Data Security koristi lozinke račun usluge koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira ove lozinke, postavljate ih na svaki od vaših HDS čvorova u ISO konfiguracijskoj datoteci. Kada se lozinke vaše organizacije bliže isteku, od Webex tima ćete primiti obavijest da poništite lozinku za račun vašeg računala. (E-poruka uključuje tekst "Koristite API računa računala za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam nudi dvije mogućnosti:
Soft reset — Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset —Stare lozinke odmah prestaju raditi.
Ako vaše lozinke istječu bez resetiranja, to utječe na vašu HDS uslugu, zahtijevajući trenutno hard reset i zamjenu ISO datoteke na svim čvorovima.
Koristite ovaj postupak za generiranje nove konfiguracijske ISO datoteke i primjenu na svoj klaster.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem varijabli Docker okruženja kada pokrenete Docker spremnik u 1.e . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTZa generiranje nove konfiguracije potrebna vam je kopija ISO datoteke trenutne konfiguracije. ISO sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.
| 1 | Koristeći Docker na lokalnom računalu, pokrenite alat za postavljanje HDS-a.
| ||||||
| 2 | Ako imate pokrenut samo jedan HDS čvor , stvorite novi VM čvora Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Za detaljnije upute pogledajte Stvorite i registrirajte više čvorova . | ||||||
| 3 | Za postojeće HDS čvorove koji pokreću stariju konfiguracijska datoteka, montirajte ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: | ||||||
| 4 | Ponovite korak 3 da zamijenite konfiguraciju na svakom preostalom čvoru koji izvodi staru konfiguraciju. |
Isključite način razlučivanja blokiranog vanjskog DNS -a
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s Cisco Webex oblakom. Ako poslužitelj za DNS čvora ne može razriješiti javna DNS imena, čvor automatski prelazi u način Blocked External DNS Resolution.
Ako vaši čvorovi mogu razriješiti javna DNS imena putem internih DNS poslužitelja, možete isključiti ovaj način ponovnim pokretanjem testa proxy veze na svakom čvoru.
Prije početka
| 1 | U web-pregledniku otvorite sučelje čvora Hybrid Data Security (IP adresa/postavka, na primjer,https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postaviti za čvor, a zatim kliknite Prijavite se . |
| 2 | Idi na Pregled (zadana stranica). Kada je omogućeno, Blokirana razlučivost vanjskog DNS -a je postavljeno na da . |
| 3 | Idite na Trust Store & Proxy stranica. |
| 4 | Kliknite Provjerite proxy vezu . Ako vidite poruku koja kaže da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do poslužitelj za DNS i ostat će u ovom načinu rada. U suprotnom, nakon što ponovno pokrenete čvor i vratite se na Pregled stranicu, razlučivost blokiranog vanjskog DNS -a treba postaviti na br. |
Što učiniti sljedeće
Uklonite čvor
| 1 | Upotrijebite VMware vSphere klijent na svom računalu da se prijavite na ESXi virtualni host i isključite virtualno računalo. |
| 2 | Uklonite čvor: |
| 3 | U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu, desni klik VM i kliknite Izbriši .) Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup vašim sigurnosnim podacima. |
Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja
Najkritičnija usluga koju pruža vaš hibridni klaster zaštite podataka je izrada i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, zahtjevi za kreiranje novih ključeva preusmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima koji su ovlašteni da ih dohvate, na primjer, članovima prostora za razgovor.
Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, imperativ je da klaster i dalje radi i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO -a koji se koristi za shemu rezultirat će NENAKONOVIM GUBITKOM sadržaja korisnika. Sljedeće prakse su obavezne kako bi se spriječio takav gubitak:
Ako katastrofa prouzrokuje da HDS implementacija u primarnom podatkovni centar postane nedostupna, slijedite ovaj postupak za ručni prijelaz u pričuvni podatkovni centar.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove . | ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranicu, dodajte konfiguraciju u nastavku ili uklonite
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
(Izborno) Isključite ISO nakon HDS konfiguracije
Standardna HDS konfiguracija radi s montiranim ISO . No, neki korisnici više vole ne ostavljati ISO datoteke kontinuirano montirane. Možete isključiti ISO datoteku nakon što svi HDS čvorovi pokupe novu konfiguraciju.
I dalje koristite ISO datoteke za promjenu konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, možete ponovno demontirati ISO ovim postupkom.
Prije početka
Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.
| 1 | Isključite jedan od svojih HDS čvorova. |
| 2 | U vCenter poslužiteljskom uređaju odaberite HDS čvor. |
| 3 | Odaberite i poništite odabir ISO datoteka skladišta podataka . |
| 4 | Uključite HDS čvor i osigurajte da nema alarma najmanje 20 minuta. |
| 5 | Ponovite redom za svaki HDS čvor. |
Pregledajte upozorenja i rješavanje problema
Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi tako sporo da zahtijeva vremensko ograničenje. Ako korisnici ne mogu doći do vašeg hibridnog sigurnosnog klastera podataka, doživljavaju sljedeće simptome:
Ne mogu se stvoriti novi prostori (nije moguće stvoriti nove ključeve)
Poruke i naslovi prostora ne mogu se dešifrirati za:
Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje
Važno je da pravilno nadzirete svoj hibridni klaster sigurnosti podataka i odmah se obratite svim upozorenjima kako biste izbjegli prekid usluge.
Upozorenja
Ako postoji problem s postavkom Hybrid Data Security, Control Hub prikazuje upozorenja organizacijskom administratoru i šalje e-poštu na konfiguriranu adresa e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.
Upozorenje | Radnja |
|---|---|
Neuspjeh pristupa lokalnoj bazi podataka. |
Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom. |
neuspjelo povezivanje s lokalnom bazom podataka. |
Provjerite je li poslužitelj baze podataka dostupan i da su ispravne vjerodajnice račun usluge korištene u konfiguraciji čvora. |
Neuspjeh pristupa usluzi u oblaku. |
Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje . |
Obnavljanje registracije usluge u oblaku. |
Odustala je registracija na usluge u oblaku. Obnova registracije je u tijeku. |
Registracija usluge u oblaku je pala. |
Registracija na usluge u oblaku je prekinuta. Usluga se gasi. |
Usluga još nije aktivirana. |
Aktivirajte probnu verziju ili dovršite premještanje probe u produkciju. |
Konfigurirana domena ne odgovara certifikat poslužitelja. |
Provjerite odgovara li certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja. |
Provjera autentičnosti na uslugama u oblaku nije uspjela. |
Provjerite točnost i mogući istek vjerodajnica račun usluge . |
Otvaranje datoteke lokalnog spremišta ključeva nije uspjelo. |
Provjerite integritet i točnost lozinke u datoteci lokalnog spremišta ključeva. |
certifikat poslužitelja nije važeći. |
Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdalo pouzdano tijelo za izdavač certifikata. |
Nije moguće objaviti mjerne podatke. |
Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku. |
/media/configdrive/hds direktorij ne postoji. |
Provjerite konfiguraciju ISO montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i da li se uspješno montira. |
Rješavanje problema sa sigurnošću hibridnih podataka
| 1 | Pregledajte Control Hub za sva upozorenja i popravite sve stavke koje tamo pronađete. |
| 2 | Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije Hybrid Data Security. |
| 3 | Kontaktirajte Ciscova podrška . |
Poznati problemi za sigurnost hibridnih podataka
Ako zatvorite svoj hibridni klaster za sigurnost podataka (brisanjem u Control Hubu ili isključivanjem svih čvorova), izgubite konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka pohrane ključeva, korisnici vaše Webex aplikacije više ne mogu koristiti prostore pod svojim osobama popis stvorenih ključevima iz vašeg KMS-a. To se odnosi i na probnu i na proizvodnu implementaciju. Trenutačno nemamo rješenje ili rješenje za ovaj problem i pozivamo vas da ne gasite svoje HDS usluge nakon što obrađuju aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu neko vrijeme (vjerojatno jedan sat). Kada korisnik postane član probnog razdoblja Hybrid Data Security, korisnikov klijent nastavlja koristiti postojeću ECDH vezu dok ne istekne. Alternativno, korisnik se može odjaviti se i ponovno prijaviti u aplikaciju Webex App kako bi ažurirao lokaciju koju aplikacija kontaktira za ključeve za šifriranje.
Isto se ponašanje događa kada premjestite probnu verziju u produkciju za organizaciju. Svi neprobni korisnici s postojećim ECDH vezama s prethodnim uslugama sigurnosti podataka nastavit će koristiti te usluge sve dok se ECDH veza ponovno ne pregovara (putem vremenskog ograničenja ili odjavom i ponovnom prijavom).
Koristite OpenSSL za generiranje PKCS12 datoteke
Prije početka
OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja ispunjava zahtjeve certifikata X.509 u X.509 Zahtjevi certifikata . Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. vidihttps://www.openssl.org za softver i dokumentaciju.
Napravite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od vašeg izdavatelja izdavač certifikata (CA).
| 1 | Kada od CA primite certifikat poslužitelja , spremite ga kao |
| 2 | Prikažite certifikat kao tekst i provjerite pojedinosti.
|
| 3 | Koristite uređivač teksta za stvaranje datoteke paketa certifikata pod nazivom
|
| 4 | Napravite .p12 datoteku s prijateljskim imenom
|
| 5 | Provjerite pojedinosti certifikat poslužitelja . |
Što učiniti sljedeće
Vratite se na Ispunite preduvjete za sigurnost hibridnih podataka . Koristit ćete se hdsnode.p12 datoteku i lozinku koju ste za nju postavili u Izradite konfiguracijski ISO za HDS hostove .
| Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada izvorni certifikat istekne. |
Promet između HDS čvorova i oblaka
Odlazni promet prikupljanja mjernih podataka
Čvorovi Hybrid Data Security šalju određene metrike u Webex oblak. To uključuje metriku sustava za maksimalnu količinu hrpe, iskorištenu hrpu, opterećenje CPU -a i broj niti; metrike na sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag enkripcijskih veza, kašnjenje ili duljinu reda zahtjeva; metrika na pohrani podataka; i metriku enkripcije veze. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.
Ulazni promet
Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:
Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora
Konfigurirajte Squid proxy za hibridnu sigurnost podataka
Websocket se ne može povezati putem Squid proxyja
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa ( wss:) veze koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida koje se ignoriraju wss: prometa za pravilan rad usluga.
Lignje 4 i 5
Dodajte on_unsupported_protocol direktiva za squid.conf:
on_unsupported_protocol tunnel allLignje 3.5.27
Uspješno smo testirali hibridnu sigurnost podataka uz dodana sljedeća pravila squid.conf. Ova pravila podložna su promjeni kako razvijamo značajke i ažuriramo Webex oblak.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNove i promijenjene informacije
|
Datum |
Promjene napravljene | ||
|---|---|---|---|
|
20. listopada 2023 |
| ||
|
07. kolovoza 2023 |
| ||
|
23. svibnja 2023 |
| ||
|
06. prosinca 2022 |
| ||
|
23. studenog 2022 |
| ||
|
13. listopada 2021. |
Docker Desktop mora pokrenuti program za postavljanje prije nego što možete instalirati HDS čvorove. vidi Zahtjevi za Docker Desktop . | ||
|
24. lipnja 2021. |
Primijetili smo da možete ponovno upotrijebiti datoteku privatnog ključa i CSR da biste zatražili drugi certifikat. vidi Koristite OpenSSL za generiranje PKCS12 datoteke za detalje. | ||
| 30. travnja 2021. |
Promijenjen zahtjev za VM za lokalni prostor na tvrdom disku na 30 GB. vidi Zahtjevi virtualnog hosta za detalje. | ||
|
24. veljače 2021. |
HDS Setup Tool sada može raditi iza proxyja. vidi Izradite konfiguracijski ISO za HDS hostove za detalje. | ||
|
02.02.2021. |
HDS sada može raditi bez montirane ISO datoteke. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje. | ||
|
11. siječnja 2021 |
Dodane su informacije o alatu za postavljanje HDS-a i proxyjima Izradite konfiguracijski ISO za HDS hostove . | ||
|
13. listopada 2020. |
Ažurirano Preuzmite instalacijske datoteke . | ||
|
8. listopada 2020. |
Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s naredbama za FedRAMP okruženja. | ||
|
14. kolovoza 2020. |
Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s promjenama u procesu prijave. | ||
|
05. kolovoza 2020. |
Ažurirano Testirajte svoju implementaciju sigurnosti hibridnih podataka za promjene u porukama dnevnika. Ažurirano Zahtjevi virtualnog hosta za uklanjanje maksimalni broj hostova. | ||
|
16. lipnja 2020. |
Ažurirano Uklonite čvor za promjene u korisničkom sučelju Control Hub-a. | ||
|
04. lipnja 2020. |
Ažurirano Izradite konfiguracijski ISO za HDS hostove za promjene u naprednim postavkama koje biste mogli postaviti. | ||
|
29. svibnja 2020. |
Ažurirano Izradite konfiguracijski ISO za HDS hostove kako bismo pokazali da također možete koristiti TLS s bazama podataka SQL Servera, promjenama korisničkog sučelja i drugim pojašnjenjima. | ||
|
05. svibnja 2020. |
Ažurirano Zahtjevi virtualnog hosta prikazati novi zahtjev ESXi 6.5. | ||
|
21. travnja 2020 |
Ažurirano Zahtjevi za vanjsko povezivanje s novim domaćinima Americas CI. | ||
|
1. travnja 2020. |
Ažurirano Zahtjevi za vanjsko povezivanje s informacijama o regionalnim CI domaćinima. | ||
| 20. veljače 2020. | Ažurirano Izradite konfiguracijski ISO za HDS hostove s informacijama na novom opcionalnom zaslonu naprednih postavki u alatu za postavljanje HDS-a. | ||
| 4. veljače 2020. | Ažurirano Zahtjevi proxy poslužitelja . | ||
| 16. prosinca 2019. | Pojašnjen je zahtjev za rad u načinu rada Blocked External DNS Resolution Mode Zahtjevi proxy poslužitelja . | ||
| 19. studenog 2019. |
Dodane su informacije o načinu razlučivanja blokiranog vanjskog DNS -a u sljedećim odjeljcima: | ||
|
8. studenog 2019. |
Sada možete konfigurirati mrežne postavke za čvor tijekom implementacije OVA umjesto kasnije. U skladu s tim ažurirani su sljedeći odjeljci:
| ||
|
6. rujna 2019. |
Dodan SQL Server Standard u Zahtjevi poslužitelja baze podataka . | ||
| 29. kolovoza 2019. | Dodano Konfigurirajte Squid proxy za hibridnu sigurnost podataka dodatak sa uputama za konfiguriranje proxyja Squid za zanemarivanje prometa websocketa radi ispravnog rada. | ||
| 20. kolovoza 2019. |
Dodani i ažurirani odjeljci koji pokrivaju podršku proxyja za komunikacije čvora Hybrid Data Security u oblaku Webex . Da biste pristupili samo sadržaju podrške za proxy za postojeću implementaciju, pogledajte Proxy podrška za hibridnu sigurnost podataka i Webex Video Mesh članak pomoći. | ||
| 13. lipnja 2019 | Ažurirano Tijek zadatka od probnog do proizvodnog s podsjetnikom za sinkronizaciju HdsTrialGroup grupni objekt prije početka probne verzije ako vaša organizacija koristi sinkronizaciju imenika. | ||
| 6. ožujka 2019 |
| ||
| 28. veljače 2019. |
| ||
| 26. veljače 2019. |
| ||
|
24. siječnja 2019. |
| ||
| 5. studenog 2018 |
| ||
| 19. listopada 2018 |
| ||
|
31. srpnja 2018 |
| ||
| 21. svibnja 2018. |
Promijenjena terminologija koja odražava rebranding Cisco Spark:
| ||
| 11. travnja 2018 |
| ||
| 22. veljače 2018. |
| ||
| 15. veljače 2018. |
| ||
| 18. siječnja 2018. |
| ||
|
2. studenog 2017. |
| ||
|
18. kolovoza 2017 |
Prvi put objavljeno |
Pregled sigurnosti hibridnih podataka
Od prvog dana sigurnost podataka je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.
Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom sigurnosnom području. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.
Arhitektura sigurnosnog područja
Arhitektura oblaka Webex razdvaja različite vrste usluga u zasebne domene ili domene povjerenja, kao što je prikazano u nastavku.
Da bismo bolje razumjeli hibridnu sigurnost podataka, pogledajmo najprije ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje se korisnici mogu izravno povezati s njihovim osobnim podacima kao što je adresa e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovni centar B. Obje su zauzvrat odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj , u podatkovni centar C.
Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na prijenosnom računalu korisnika i provjerava autentičnost uslugom identiteta. Kada korisnik sastavi poruku za slanje u prostor, odvijaju se sljedeći koraci:
-
Klijent uspostavlja sigurna veza s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. sigurna veza koristi ECDH, a KMS šifrira ključ pomoću AES-256 glavnog ključa.
-
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
-
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
-
Šifrirana poruka je pohranjena u području pohrane.
Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovom području.
Suradnja s drugim organizacijama
Korisnici u vašoj organizaciji mogu redovito koristiti aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak kroz zasebni ECDH kanal kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.
KMS usluga koja radi na organizaciji A provjerava valjanost veza s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. vidi Pripremite svoje okruženje za pojedinosti o generiranju x.509 certifikata za korištenje s vašom Hybrid Data Security implementacijom.
Očekivanja za implementaciju hibridne sigurnosti podataka
Implementacija Hybrid Data Security zahtijeva značajnu predanost korisnika i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.
Za implementaciju Hybrid Data Security morate osigurati:
-
Siguran podatkovni centar u zemlji koja je podržano mjesto za planove Cisco Webex Teams .
-
Oprema, softver i pristup mreži opisani u Pripremite svoje okruženje .
Potpuni gubitak bilo ISO konfiguracije koju ste izgradili za Hybrid Data Security ili baze podataka koju ste dali rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex . Ako se to dogodi, možete napraviti novu implementaciju, ali će biti vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:
-
Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO konfiguracije.
-
Budite spremni izvesti brzi oporavak od katastrofe od katastrofe ako se dogodi katastrofa, kao što je kvar diska baze podataka ili katastrofa podatkovni centar .
| Ne postoji mehanizam za premještanje ključeva natrag u oblak nakon implementacije HDS-a. |
Proces postavljanja na visokoj razini
Ovaj dokument pokriva postavljanje i upravljanje Hybrid Data Security implementacijom:
Postavite hibridnu sigurnost podataka —To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, testiranje vaše implementacije s podskupom korisnika u probnom načinu rada i, nakon što je testiranje završeno, prelazak na proizvodnju. To pretvara cijelu organizaciju da koristi vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.
Faze postavljanja, ispitivanja i proizvodnje detaljno su obrađene u sljedeća tri poglavlja.
-
Održavajte svoju implementaciju Hybrid Data Security — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku razine jedan za ovu implementaciju i angažirati Ciscova podrška prema potrebi. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Control Hubu.
-
Razumjeti uobičajena upozorenja, korake za rješavanje problema i poznate probleme —Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Security, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći da utvrdite i riješite problem.
Model implementacije hibridne sigurnosti podataka
Unutar vašeg podaci poduzeća centra postavljate Hybrid Data Security kao jedan klaster čvorova na zasebnim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih webutičnica i sigurnog HTTP-a.
Tijekom procesa instalacije dajemo vam OVA datoteku za postaviti virtualnog uređaja na VM-ovima koje ste dali. Koristite alat za postavljanje HDS-a za kreiranje ISO datoteke prilagođene konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš dostavljen Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Podatke o Syslogd-u i vezi s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)
Minimalni broj čvorova koji možete imati u klasteru je dva. Preporučujemo najmanje tri, a možete imati i do pet. Posjedovanje više čvorova osigurava da usluga nije prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. ( Webex oblak nadograđuje samo jedan po jedan čvor.)
Svi čvorovi u klasteru pristupaju istoj pohrani ključeva i bilježe aktivnost na istom poslužitelju syslog. Sami čvorovi su bez državljanstva i obrađuju ključne zahtjeve na kružni način, prema uputama oblaka.
Čvorovi postaju aktivni kada ih registrirate u Control Hubu. Da biste isključili pojedini čvor iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.
Podržavamo samo jedan klaster po organizaciji.
Probni način sigurnosti hibridnih podataka
Nakon postavljanja implementacije Hybrid Data Security, prvo je isprobate s skupom pilot korisnika. Tijekom probnog razdoblja, ti korisnici koriste vašu lokalnu domenu Hybrid Data Security za ključeve za šifriranje i druge usluge sigurnosnog područja. Vaši drugi korisnici nastavljaju koristiti područje sigurnosti u oblaku.
Ako odlučite ne nastaviti s implementacijom tijekom probnog razdoblja i deaktivirati uslugu, pilot korisnici i svi korisnici s kojima su stupili u interakciju stvaranjem novih prostora tijekom probnog razdoblja izgubit će pristup porukama i sadržaju. Vidjet će "Ovu poruku nije moguće dešifrirati" u aplikaciji Webex .
Ako ste zadovoljni da vaša implementacija dobro funkcionira za probne korisnike i spremni ste proširiti Hybrid Data Security na sve svoje korisnike, premjestite implementaciju u produkciju. Korisnici pilota i dalje imaju pristup ključevima koji su bili u upotrebi tijekom probnog razdoblja. Međutim, ne možete se kretati naprijed-natrag između proizvodnog načina i izvorne probne verzije. Ako morate deaktivirati uslugu, kao što je izvođenje oporavak od katastrofe od katastrofe, kada ponovno aktivirate, morate pokrenuti novu probnu verziju i postaviti skup pilot korisnika za novo probno razdoblje prije nego što se vratite u proizvodni način rada. Hoće li korisnici zadržati pristup podacima u ovom trenutku ovisi o tome jeste li uspješno održavali sigurnosne kopije pohrana podataka i ISO konfiguracijska datoteka za čvorove Hybrid Data Security u vašem klasteru.
Podatkovni centar u pripravnosti za oporavak od katastrofe
Tijekom implementacije postaviti sigurni podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovni centar , možete ručno ne uspjeti svoju implementaciju u podatkovni centar u stanju pripravnosti.
Baze podataka aktivnih i pričuvnih podatkovnih centara međusobno su sinkronizirane, što će minimizirati vrijeme potrebno za izvođenje prebacivanja. ISO datoteka podatkovni centar u stanju čekanja ažurira se dodatnim konfiguracijama koje osiguravaju da su čvorovi registrirani u organizaciji, ali neće upravljati prometom. Stoga čvorovi podatkovni centar u stanju čekanja uvijek ostaju ažurirani s najnovijom verzijom HDS softvera.
| Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovni centar kao i aktivni poslužitelj baze podataka. |
Postavite podatkovni centar u stanju čekanja za oporavak od katastrofe
Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovni centar u stanju čekanja:
Prije početka
-
podatkovni centar u stanju čekanja trebao bi odražavati proizvodno okruženje VM-ova i sigurnosnu kopiju baze podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. (Vidi Podatkovni centar u pripravnosti za oporavak od katastrofe za pregled ovog modela nadilaženja greške.)
-
Provjerite je li sinkronizacija baze podataka omogućena između baze podataka aktivnih i pasivnih čvorova klastera.
| 1 |
Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove .
| ||
| 2 |
Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 |
Na Napredne postavke stranici, dodajte konfiguraciju u nastavku da biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom.
| ||
| 4 |
Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 |
Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 |
U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 |
Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 |
Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 |
Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
Nakon konfiguriranja pasivni način u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez pasivni način konfiguraciju i spremite je na sigurno mjesto. Ova kopija ISO datoteke bez pasivni način konfigurirano može pomoći u brzom procesu prelaska na kvar tijekom oporavak od katastrofe od katastrofe. vidi Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja za detaljan postupak prelaska na grešku.
Podrška za proxy poslužitelje
Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.
Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:
-
Nema proxyja —Zadana postavka ako ne koristite konfiguraciju HDS čvora Trust Store & Proxy za integraciju proxyja. Ažuriranje certifikata nije potrebno.
-
Transparentni proxy bez inspekcije — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
-
Transparentno tuneliranje ili proxy za inspekciju — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj . Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
-
Eksplicitni proxy —S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu provjere autentičnosti da koriste. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
-
Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy stroju.
-
Proxy port —Broj porta koji proxy koristi za slušanje proxy prometa.
-
Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
-
HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
-
HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
-
-
vrsta provjere autentičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
-
Nijedan — Nije potrebna daljnja provjera autentičnosti.
Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
-
Osnovni —Koristi se za HTTP korisnički agent za davanje korisničkog imena i lozinke prilikom postavljanja zahtjeva. Koristi Base64 kodiranje.
Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
-
Sažetak — Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
Dostupno samo ako kao proxy protokol odaberete HTTPS.
Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
-
-
Primjer hibridnih čvorova i proxyja za sigurnost podataka
Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.
Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.
Zahtjevi za sigurnost hibridnih podataka
Zahtjevi za licencu Cisco Webex
Za implementaciju hibridne sigurnosti podataka:
-
Morate imati Pro Pack za Cisco Webex Control Hub. (Vidihttps://www.cisco.com/go/pro-pack .)
Zahtjevi za Docker Desktop
Prije nego što instalirate svoje HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".
X.509 Zahtjevi certifikata
lanac certifikata mora ispunjavati sljedeće zahtjeve:
|
Uvjet |
pojedinosti |
|---|---|
|
Prema zadanim postavkama, vjerujemo CA-ovima na Mozilla popisu (s izuzetkom WoSign i StartCom) nahttps://wiki.mozilla.org/CA:IncludedCAs . |
|
CN ne mora biti dostupan niti biti domaćin uživo. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, CN ne smije sadržavati * (zamjenski znak). CN se koristi za provjeru čvorova Hybrid Data Security za klijente Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što ste registrirali čvor s ovim certifikatom, ne podržavamo promjenu naziva CN naziv domene. Odaberite domenu koja se može primijeniti i na probnu i na proizvodnu implementaciju. |
|
KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija. |
|
Možete koristiti pretvarač kao što je OpenSSL za promjenu formata certifikata. Morat ćete unijeti lozinku kada pokrenete HDS Setup Tool. |
KMS softver ne provodi korištenje ključa ili proširena ograničenja upotrebe ključa. Neka tijela za izdavanje certifikata zahtijevaju da se proširena ograničenja upotrebe ključa primjenjuju na svaki certifikat, kao što je provjera autentičnosti poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.
Zahtjevi virtualnog hosta
Virtualni hostovi koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru imaju sljedeće zahtjeve:
-
Najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar
-
VMware ESXi 6.5 (ili noviji) je instaliran i radi.
Morate nadograditi ako imate stariju verziju ESXi.
-
Najmanje 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju
Zahtjevi poslužitelja baze podataka
| Napravite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka. |
Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:
|
PostgreSQL |
Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
|
Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) |
Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) |
HDS softver trenutno instalira sljedeće verzije drajvera za komunikaciju s poslužitelj baze podataka:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC drajver 42.2.5 |
SQL Server JDBC upravljački program 4.6 Ova verzija upravljačkog programa podržava SQL Server Always On ( Uvijek uključene instance klastera za napuštanje greške i Grupe dostupnosti Always On ). |
Dodatni zahtjevi za Windows autentifikaciju na Microsoft SQL Serveru
Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka ključeva na Microsoft SQL Serveru, trebate sljedeću konfiguraciju u vašem okruženju:
-
HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
-
Windows račun koji dajete HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
-
DNS poslužitelji koje pružate HDS čvorovima moraju moći riješiti vaš centar za distribuciju ključeva (KDC).
-
Instancu baze podataka HDS možete registrirati na svom Microsoft SQL Serveru kao ime principala usluge (SPN) na vašem Active Directory. vidi Registrirajte naziv glavne usluge za Kerberos veze .
Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za konstruiranje SPN-a kada traže pristup s Kerberos provjerom autentičnosti.
Zahtjevi za vanjsko povezivanje
Konfigurirajte svoj vatrozid da omogući sljedeće povezivanje za HDS aplikacije:
|
Aplikacija |
Protokol |
Priključak |
Smjer iz aplikacije |
Odredište |
|---|---|---|---|---|
|
Čvorovi hibridne sigurnosti podataka |
TCP |
443 |
Odlazni HTTPS i WSS |
|
|
Alat za postavljanje HDS-a |
TCP |
443 |
Odlazni HTTPS |
|
| Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze na odredišta domene u prethodnoj tablici. Za veze koje ulaze u čvorove Hybrid Data Security, nikakvi portovi ne bi trebali biti vidljivi s interneta. Unutar vašeg podatkovni centar, klijenti trebaju pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe. |
URL-ovi za hostove zajedničkog identiteta (CI) su specifični za regiju. Ovo su trenutni CI hostovi:
|
Regija |
Uobičajeni URL-ovi hosta identiteta |
|---|---|
|
Južna i Sjeverna Amerika |
|
|
Europska unija |
|
|
Kanada |
|
Preduvjeti proxy poslužitelja
-
Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
-
Prozirni proxy – Cisco Web Security Appliance (WSA).
-
Eksplicitni proxy – lignje.
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Da biste zaobišli ovaj problem, pogledajte Konfigurirajte Squid proxy za hibridnu sigurnost podataka .
-
-
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
-
Nema provjere autentičnosti s HTTP ili HTTPS-om
-
Osnovna provjera autentičnosti s HTTP ili HTTPS-om
-
Probavi provjeru autentičnosti samo s HTTPS-om
-
-
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
-
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
-
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u
wbx2.com i ciscospark.com riješit ćeproblem.
Ispunite preduvjete za sigurnost hibridnih podataka
| 1 |
Provjerite je li vaša Webex organizacija omogućena za Pro Pack za Cisco Webex Control Hub i pribavite vjerodajnice računa s punim administratorskim pravima organizacije. Obratite se svom Cisco partneru ili upravitelju računa za pomoć u ovom procesu. | ||
| 2 |
Odaberite naziv domene za svoju HDS implementaciju (na primjer, | ||
| 3 |
Pripremite identične virtualne hostove koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru. Potrebna su vam najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar koji ispunjavaju zahtjeve u Zahtjevi virtualnog hosta . | ||
| 4 |
Pripremite poslužitelj baze podataka koji će djelovati kao ključna pohrana podataka za klaster, prema Zahtjevi poslužitelja baze podataka . Poslužitelj poslužitelj baze podataka mora biti smješten u sigurnom podatkovni centar s virtualnim hostovima. | ||
| 5 |
Za brzi oporavak od katastrofe od katastrofe, postaviti okruženje za sigurnosnu kopiju u drugom podatkovni centar. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-a i poslužitelj baze podataka sigurnosne kopije. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. | ||
| 6 |
Postavite host syslog za prikupljanje zapisnika s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514). | ||
| 7 |
Napravite sigurnosno sigurnosno kopiranje za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepopravljiv gubitak podataka, morate sigurnosno kopirati bazu podataka i konfiguracijsku ISO datoteku generiranu za čvorove Hybrid Data Security.
Klijenti aplikacije Webex spremaju svoje ključeve, tako da kvar možda neće biti odmah uočljiv, ali će s vremenom postati očigledan. Iako je privremene prekide nemoguće spriječiti, oni su nadoknadivi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima o korisnicima. Od operatera čvorova Hybrid Data Security se očekuje da održavaju česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te da budu spremni za ponovnu izgradnju podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara. | ||
| 8 |
Osigurajte da konfiguracija vatrozida dopušta povezivanje za vaše Hybrid Data Security čvorove kao što je navedeno u Zahtjevi za vanjsko povezivanje . | ||
| 9 |
Instaliraj Docker (https://www.docker.com ) na bilo kojem lokalnom računalu s podržanim OS (Microsoft Windows 10 Professional ili Enterprise 64-bit, ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti nahttp://127.0.0.1:8080. Instancu Dockera koristite za preuzimanje i pokretanje alata za postavljanje HDS-a, koji gradi konfiguracijska informacija za sve čvorove Hybrid Data Security. Vaša organizacija možda treba licencu Docker Desktop. vidi Zahtjevi za Docker Desktop za više informacija. Da biste instalirali i pokrenuli alat za postavljanje HDS-a, lokalni stroj mora imati opisanu povezanost Zahtjevi za vanjsko povezivanje . | ||
| 10 |
Ako integrirate proxy s Hybrid Data Security, provjerite zadovoljava li Zahtjevi proxy poslužitelja . | ||
| 11 |
Ako vaša organizacija koristi sinkronizaciju imenika, stvorite grupu u Active Directory pod nazivom
|
Tijek zadatka implementacije hibridne sigurnosti podataka
Prije početka
| 1 |
Preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoj lokalni stroj za kasniju upotrebu. | ||
| 2 |
Izradite konfiguracijski ISO za HDS hostove Koristite alat za postavljanje HDS-a za stvaranje ISO konfiguracijska datoteka za čvorove Hybrid Data Security. | ||
| 3 |
Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke.
| ||
| 4 |
Postavite VM za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. | ||
| 5 |
Prenesite i montirajte ISO konfiguraciju HDS-a Konfigurirajte VM iz ISO konfiguracijska datoteka koju ste kreirali pomoću alata za postavljanje HDS-a. | ||
| 6 |
Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u skladište povjerenja ako je potrebno. | ||
| 7 |
Registrirajte prvi čvor u klasteru Registrirajte VM u oblaku Cisco Webex kao čvor za hibridnu sigurnost podataka. | ||
| 8 |
Stvorite i registrirajte više čvorova Dovršite postavljanje klastera. | ||
| 9 |
Pokrenite probnu verziju i prijeđite u produkciju (sljedeće poglavlje) Dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana. |
Preuzmite instalacijske datoteke
| 1 |
Prijavite se nahttps://admin.webex.com , a zatim kliknite Usluge . | ||||
| 2 |
U odjeljku Hybrid Services pronađite karticu Hybrid Data Security, a zatim kliknite Postavite . Ako je kartica onemogućena ili je ne vidite, obratite se svom timu za račun ili partnerskoj organizaciji. Dajte im broj svog računa i zamolite da omogućite svoju organizaciju za Hybrid Data Security. Da biste pronašli broj računa, kliknite zupčanik u gornjem desnom kutu, pored naziva svoje organizacije.
| ||||
| 3 |
Odaberite ne da biste naznačili da još niste postaviti čvor, a zatim kliknite Dalje . OVA datoteka automatski počinje preuzimati. Spremite datoteku na mjesto na vašem računalu.
| ||||
| 4 |
Po želji, kliknite Otvorite Vodič za implementaciju kako biste provjerili postoji li dostupna novija verzija ovog vodiča. |
Izradite konfiguracijski ISO za HDS hostove
Proces postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg hosta Hybrid Data Security.
Prije nego što počnete
-
HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem varijabli Docker okruženja kada u koraku otvorite Docker spremnik 5 . Ova tablica daje neke moguće varijable okoliša:
Opis
Varijabla
HTTP proxy bez provjere autentičnosti
GLOBALNO_ AGENT_ HTTP_ PROXY=http://SERVER_ IP: PORTHTTPS proxy bez provjere autentičnosti
GLOBALNO_ AGENT_ HTTPS_ PROXY=http://SERVER_ IP: PORTHTTP proxy s provjerom autentičnosti
GLOBALNO_ AGENT_ HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP: PORTHTTPS proxy s provjerom autentičnosti
GLOBALNO_ AGENT_ HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP: PORT -
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. Potrebna vam je najnovija kopija ove datoteke svaki put kada izvršite promjene u konfiguraciji, poput ovih:
-
Vjerodajnice baze podataka
-
Ažuriranja certifikata
-
Promjene u politici autorizacije
-
-
Ako planirate šifrirati veze baze podataka, postaviti svoju implementaciju PostgreSQL ili SQL Server za TLS.
| 1 |
Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: U FedRAMP okruženjima:
| ||||||||||||
| 2 |
Da biste se prijavili u Dockerov registar slika, unesite sljedeće: | ||||||||||||
| 3 |
Na upit za zaporku unesite ovaj hash: | ||||||||||||
| 4 |
Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: U FedRAMP okruženjima: | ||||||||||||
| 5 |
Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:
Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". | ||||||||||||
| 6 |
Upotrijebite web-preglednik da idite na localhost, Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat tada prikazuje standardni upit za prijavu. | ||||||||||||
| 7 |
Kada se to od vas zatraži, unesite svoje vjerodajnice za prijavu administratora korisničkog centra Control Hub, a zatim kliknite Prijavite se kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security. | ||||||||||||
| 8 |
Na stranici Pregled alata za postavljanje kliknite Započnite . | ||||||||||||
| 9 |
Na ISO uvoz stranicu, imate ove opcije:
| ||||||||||||
| 10 |
Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 Zahtjevi certifikata .
| ||||||||||||
| 11 |
Unesite adresu baze podataka i račun za HDS za pristup vašoj ključnoj pohrani podataka: | ||||||||||||
| 12 |
Odaberite a TLS način povezivanja baze podataka :
Kada učitate korijenski certifikat (ako je potrebno) i kliknite Nastavi , alat za postavljanje HDS-a testira TLS vezu s poslužitelj baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivanju, HDS čvorovi možda mogu uspostaviti TLS vezu čak i ako je stroj alata za postavljanje HDS ne može uspješno testirati.) | ||||||||||||
| 13 |
Na stranici System Logs, konfigurirajte svoj Syslogd poslužitelj: | ||||||||||||
| 14 |
(Izborno) Možete promijeniti zadana vrijednost za neke parametre povezivanja baze podataka u Napredne postavke . Općenito, ovaj parametar je jedini koji biste možda željeli promijeniti: | ||||||||||||
| 15 |
Kliknite Nastavi na Poništi lozinku za račune usluge zaslon. Zaporke računa usluge imaju vijek trajanja od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliži isteku ili ih želite poništiti kako biste poništili prethodne ISO datoteke. | ||||||||||||
| 16 |
Kliknite Preuzmite ISO datoteku . Spremite datoteku na mjesto koje je lako pronaći. | ||||||||||||
| 17 |
Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||||||||||||
| 18 |
Da biste isključili alat za postavljanje, upišite |
Što učiniti sljedeće
Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za promjenu konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.
| Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite. |
Instalirajte HDS Host OVA
| 1 |
Upotrijebite VMware vSphere klijent na svom računalu za prijavu na ESXi virtualni host. | ||||||
| 2 |
Odaberite Datoteka > Postavite OVF predložak . | ||||||
| 3 |
U čarobnjaku navedite mjesto OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje . | ||||||
| 4 |
Na Odaberite naziv i mapu stranicu, unesite a Naziv virtualnog stroja za čvor (na primjer, "HDS_ Node_ 1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualno računalo , a zatim kliknite Dalje . | ||||||
| 5 |
Na Odaberite računalni resurs stranicu, odaberite odredišni računski resurs, a zatim kliknite Dalje . Pokreće se provjera valjanosti. Nakon što završi, pojavljuju se detalji predloška. | ||||||
| 6 |
Provjerite detalje predloška, a zatim kliknite Dalje . | ||||||
| 7 |
Ako se od vas traži da odaberete konfiguraciju resursa na Konfiguracija stranicu, kliknite 4 CPU a zatim kliknite Dalje . | ||||||
| 8 |
Na Odaberite pohranu stranicu, kliknite Dalje za prihvaćanje zadanog formata diska i pravila pohrane VM -a. | ||||||
| 9 |
Na Odaberite mreže na stranici, odaberite opciju mreže s popisa unosa kako biste pružili željenu povezanost s VM-om. | ||||||
| 10 |
Na Prilagodite predložak stranicu, konfigurirajte sljedeće mrežne postavke:
Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti upute Postavite VM za hibridnu sigurnost podataka za konfiguriranje postavki s konzole čvora.
| ||||||
| 11 |
Desnom tipkom miša kliknite VM čvora, a zatim odaberite . Softver Hybrid Data Security instaliran je kao gost na VM Host. Sada ste spremni za prijaviti se na konzolu i konfiguriranje čvora. Savjeti za otklanjanje poteškoća Možda ćete doživjeti kašnjenje od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka bridge firewall-a pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti se. |
Postavite VM za hibridnu sigurnost podataka
Upotrijebite ovaj postupak da se prvi put prijaviti se na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.
| 1 |
U VMware vSphere klijentu odaberite svoj Hybrid Data Security čvor VM i odaberite Konzola tab. VM se pokreće i pojavljuje se prompt za prijavu. Ako se prompt za prijavu ne prikaže, pritisnite Uđi .
|
| 2 |
Za prijaviti se i promjenu vjerodajnica koristite sljedeću zadanu prijavu i lozinku: Budući da se prvi put prijavljujete na svoj VM , morate promijeniti lozinku administratora. |
| 3 |
Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA , preskočite ostatak ovog postupka. Inače, u glavni izbornik odaberite Uredi konfiguraciju opcija. |
| 4 |
Postavite statičku konfiguraciju s IP adresa, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresa i DNS naziv. DHCP nije podržan. |
| 5 |
(Neobavezno) Promijenite naziv hosta, domenu ili NTP poslužitelj(e) ako je potrebno da odgovara vašim mrežnim pravilima. Ne morate postaviti domenu da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. |
| 6 |
Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu. |
Prenesite i montirajte ISO konfiguraciju HDS-a
Prije početka
Budući da ISO datoteka sadrži glavni ključ, trebala bi biti izložena samo na temelju "treba znati" za pristup VM-ovima Hybrid Data Security i svim administratorima koji bi mogli unijeti promjene. Provjerite da samo ti administratori mogu pristupiti spremištu podataka.
| 1 |
Prenesite ISO datoteku sa svog računala: |
| 2 |
Montirajte ISO datoteku: |
Što učiniti sljedeće
Ako vaša IT politika zahtijeva, možete po želji isključiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje.
Konfiguriranje HDS čvora za integraciju proxy poslužitelja
Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.
Prije nego što počnete
| 1 |
U web-preglednik unesite URL za postavljanje HDS čvora |
| 2 |
Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost:
Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy. |
| 3 |
Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku. |
| 4 |
Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blocked External DNS Resolution. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način razlučivanja blokiranog vanjskog DNS -a . |
| 5 |
Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu. |
| 6 |
Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta. |
| 7 |
Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju. |
Registrirajte prvi čvor u klasteru
Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova koji su raspoređeni kako bi osigurali redundantnost.
Prije početka
-
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
-
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 |
Prijavite se na https://admin.webex.com. |
| 2 |
Na izborniku na lijevoj strani zaslona odaberite Usluge . |
| 3 |
U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavite . Pojavljuje se stranica Registriraj hibridni sigurnosni čvor.
|
| 4 |
Odaberite da kako biste naznačili da ste postaviti čvor i da ste spremni za registraciju, a zatim kliknite Dalje . |
| 5 |
U prvo polje unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da imenujete klaster na temelju toga gdje se čvorovi klastera geografski nalaze. Primjeri: "San Francisco" ili "New York" ili "Dallas" |
| 6 |
U drugo polje unesite internu IP adresa ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Dalje . Ova IP adresa ili FQDN bi se trebali podudarati s IP adresa ili imenom hosta i domenom na kojoj ste se koristili Postavite VM za hibridnu sigurnost podataka . Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
|
| 7 |
Kliknite Idite na Node . |
| 8 |
Kliknite Nastavi u poruka upozorenja. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup sigurnosnom čvoru hibridnih podataka. Tamo potvrđujete da želite svojoj Webex organizaciji dati dopuštenja za pristup vašem čvoru.
|
| 9 |
Provjerite Dopustite pristup vašem hibridnom sigurnosnom čvoru podataka potvrdni okvir, a zatim kliknite Nastavi . Vaš je račun potvrđen i poruka "Registration Complete" označava da je vaš čvor sada registriran u Webex oblaku.
|
| 10 |
Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Control Hub Hybrid Data Security. Na Hibridna sigurnost podataka stranici, prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.
|
Stvorite i registrirajte više čvorova
| U ovom trenutku, sigurnosne kopije VM-a u kojima ste kreirali Ispunite preduvjete za sigurnost hibridnih podataka su standby hostovi koji se koriste samo u slučaju oporavka od oporavak od katastrofe; do tada nisu registrirani u sustavu. Za detalje pogledajte Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja . |
Prije početka
-
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
-
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 |
Izradite novi virtualno računalo iz OVA, ponavljajući korake u Instalirajte HDS Host OVA . |
| 2 |
Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u Postavite VM za hibridnu sigurnost podataka . |
| 3 |
Na novom VM-u ponovite korake u Prenesite i montirajte ISO konfiguraciju HDS-a . |
| 4 |
Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za proxy integraciju prema potrebi za novi čvor. |
| 5 |
Registrirajte čvor. Vaš čvor je registriran. Imajte na umu da dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana.
|
Što učiniti sljedeće
Tijek zadatka od probnog do proizvodnog
Nakon što postaviti hibridni klaster sigurnosti podataka, možete pokrenuti pilot, dodati mu korisnike i početi ga koristiti za testiranje i provjeru svoje implementacije u pripremi za prelazak na proizvodnju.
Prije početka
| 1 |
Ako je primjenjivo, sinkronizirajte Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati |
| 2 |
Započnite probu. Dok ne izvršite ovaj zadatak, vaši čvorovi generiraju alarm koji pokazuje da usluga još nije aktivirana. |
| 3 |
Testirajte svoju implementaciju sigurnosti hibridnih podataka Provjerite prolaze li ključni zahtjevi vašoj implementaciji Hybrid Data Security. |
| 4 |
Pratite zdravlje hibridne sigurnosti podataka Provjerite status i postaviti obavijesti e-poštom za alarme. |
| 5 | |
| 6 |
Dovršite probnu fazu jednom od sljedećih radnji: |
Aktivirajte probnu verziju
Prije početka
Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati HdsTrialGroup grupni objekt za sinkronizaciju s oblakom prije nego što možete pokrenuti probnu verziju za svoju organizaciju. Za upute pogledajte Vodič za implementaciju za Cisco Directory Connector.
| 1 |
Prijavite se nahttps://admin.webex.com , a zatim odaberite Usluge . |
| 2 |
Pod Hybrid Data Security kliknite Postavke . |
| 3 |
U odjeljku Status usluge kliknite Započni suđenje . Status usluge mijenja se u probni način.
|
| 4 |
Kliknite Dodajte korisnike i unesite adresa e-pošte jednog ili više korisnika za pilotiranje korištenjem vaših Hybrid Data Security čvorova za usluge šifriranja i indeksiranja. (Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory za upravljanje probnom grupom, |
Testirajte svoju implementaciju sigurnosti hibridnih podataka
Prije početka
-
Postavite svoju implementaciju Hybrid Data Security.
-
Aktivirajte probnu verziju i dodajte nekoliko probnih korisnika.
-
Osigurajte da imate pristup syslogu kako biste provjerili prosljeđuju li ključni zahtjevi vašoj Hybrid Data Security implementaciji.
| 1 |
Ključeve za dati prostor postavlja kreator prostora. Prijavite se u aplikaciju Webex kao jedan od pilot korisnika, a zatim stvorite prostor i pozovite barem jednog pilot korisnika i jednog korisnika koji nije pilot.
| ||
| 2 |
Šaljite poruke u novi prostor. | ||
| 3 |
Provjerite izlaz syslog kako biste potvrdili da se zahtjevi za ključeve prosljeđuju vašoj Hybrid Data Security implementaciji. |
Pratite zdravlje hibridne sigurnosti podataka
| 1 |
u Kontrolno čvorište , odaberite Usluge iz izbornika na lijevoj strani zaslona. |
| 2 |
U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavke . Pojavljuje se stranica Postavke sigurnosti hibridnih podataka.
|
| 3 |
U odjeljku Obavijesti e-pošta -poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Uđi . |
Dodajte ili uklonite korisnike iz svoje probne verzije
Ako uklonite korisnika iz probne verzije, korisnikov klijent će zatražiti ključeve i izradu ključeva iz KMS-a u oblaku umjesto vašeg KMS-a. Ako klijent treba ključ koji je pohranjen na vašem KMS-u, KMS u oblaku će ga dohvatiti u ime korisnika.
Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory (umjesto ovog postupka) za upravljanje probnom grupom, HdsTrialGroup ; možete vidjeti članove grupe u Control Hubu, ali ih ne možete dodati ili ukloniti.
| 1 |
Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 |
Pod Hybrid Data Security kliknite Postavke . |
| 3 |
U odjeljku Probni način rada u području Status usluge kliknite Dodajte korisnike , ili kliknite pregledati i urediti za uklanjanje korisnika iz probe. |
| 4 |
Unesite adresa e-pošte jednog ili više korisnika za dodavanje ili kliknite na X pomoću ID korisnika-a za uklanjanje korisnika iz probe. Zatim kliknite Spremi. |
Prijeđite s probnog na produkciju
| 1 |
Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 |
Pod Hybrid Data Security kliknite Postavke . |
| 3 |
U odjeljku Status usluge kliknite Prijeđite u produkciju . |
| 4 |
Potvrdite da sve svoje korisnike želite premjestiti u produkciju. |
Završite probno razdoblje bez prelaska na produkciju
| 1 |
Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 |
Pod Hybrid Data Security kliknite Postavke . |
| 3 |
U odjeljku Deaktiviraj kliknite Deaktiviraj . |
| 4 |
Potvrdite da želite deaktivirati uslugu i završiti probno razdoblje. |
Upravljajte HDS implementacijom
Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.
Postavite raspored nadogradnje klastera
Za postavljanje rasporeda nadogradnje:
| 1 |
Prijavite se u Kontrolni centar. |
| 2 |
Na stranici Pregled u odjeljku Hibridne usluge odaberite Hibridna sigurnost podataka . |
| 3 |
Na stranici Resursi za sigurnost hibridnih podataka odaberite klaster. |
| 4 |
Na ploči Pregled s desne strane, u odjeljku Postavke klastera, odaberite naziv klastera. |
| 5 |
Na stranici Postavke, u odjeljku Nadogradnja, odaberite vrijeme i vremenska zona za raspored nadogradnje. Napomena: Ispod vremenska zona prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Ako je potrebno, nadogradnju možete odgoditi za sljedeći dan klikom Odgoditi . |
Promijenite konfiguraciju čvora
-
Promjena x.509 certifikata zbog isteka ili drugih razloga.
Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
-
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.
Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
-
Izrada nove konfiguracije za pripremu novog podatkovnog centra.
Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:
-
Soft reset — Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
-
Hard reset —Stare lozinke odmah prestaju raditi.
Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.
Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.
Prije nego što počnete
-
HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) kroz varijable Docker okruženja kada pokrenete Docker spremnik u 1.e . Ova tablica daje neke moguće varijable okoliša:
Opis
Varijabla
HTTP proxy bez provjere autentičnosti
GLOBALNO_ AGENT_ HTTP_ PROXY=http://SERVER_ IP: PORTHTTPS proxy bez provjere autentičnosti
GLOBALNO_ AGENT_ HTTPS_ PROXY=http://SERVER_ IP: PORTHTTP proxy s provjerom autentičnosti
GLOBALNO_ AGENT_ HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP: PORTHTTPS proxy s provjerom autentičnosti
GLOBALNO_ AGENT_ HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP: PORT -
Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.
| 1 |
Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool.
| ||||||
| 2 |
Ako imate pokrenut samo jedan HDS čvor , stvorite novi VM čvora Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Za detaljnije upute pogledajte Stvorite i registrirajte više čvorova . | ||||||
| 3 |
Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: | ||||||
| 4 |
Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju. |
Isključivanje blokiranog načina vanjske razlučivosti DNS-a
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.
Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.
Prije nego što počnete
| 1 |
U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava. |
| 2 |
Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da. |
| 3 |
Idite na stranicu Spremište pouzdanosti i proxy poslužitelj. |
| 4 |
Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne. |
Što učiniti sljedeće
Uklonite čvor
| 1 |
Upotrijebite VMware vSphere klijent na svom računalu da se prijavite na ESXi virtualni host i isključite virtualno računalo. |
| 2 |
Uklonite čvor: |
| 3 |
U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu, desni klik VM i kliknite Izbriši .) Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup vašim sigurnosnim podacima. |
Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja
Najkritičnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je izrada i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, zahtjevi za kreiranje novih ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima koji su ovlašteni da ih dohvate, na primjer, članovima prostora za razgovor.
Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, imperativ je da klaster i dalje radi i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO -a koji se koristi za shemu rezultirat će NENAKONOVIM GUBITKOM sadržaja korisnika. Sljedeće prakse su obavezne kako bi se spriječio takav gubitak:
Ako katastrofa prouzrokuje da HDS implementacija u primarnom podatkovni centar postane nedostupna, slijedite ovaj postupak za ručni prijelaz na pričuvni podatkovni centar.
| 1 |
Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove . | ||
| 2 |
Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 |
Na Napredne postavke stranicu, dodajte konfiguraciju u nastavku ili uklonite
| ||
| 4 |
Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 |
Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 |
U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 |
Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 |
Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 |
Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
(Izborno) Isključite ISO nakon HDS konfiguracije
Standardna HDS konfiguracija radi s montiranim ISO . No, neki korisnici više vole ne ostavljati ISO datoteke kontinuirano montirane. Možete isključiti ISO datoteku nakon što svi HDS čvorovi pokupe novu konfiguraciju.
I dalje koristite ISO datoteke za promjenu konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, možete ponovno demontirati ISO ovim postupkom.
Prije početka
Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.
| 1 |
Isključite jedan od svojih HDS čvorova. |
| 2 |
U vCenter poslužiteljskom uređaju odaberite HDS čvor. |
| 3 |
Odaberite i poništite odabir ISO datoteka skladišta podataka . |
| 4 |
Uključite HDS čvor i osigurajte da nema alarma najmanje 20 minuta. |
| 5 |
Ponovite redom za svaki HDS čvor. |
Pregledajte upozorenja i rješavanje problema
Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi tako sporo da zahtijeva vremensko ograničenje. Ako korisnici ne mogu doći do vašeg hibridnog sigurnosnog klastera podataka, doživljavaju sljedeće simptome:
-
Ne mogu se stvoriti novi prostori (nije moguće stvoriti nove ključeve)
-
Poruke i naslovi prostora ne mogu se dešifrirati za:
-
Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
-
Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
-
-
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje
Važno je da pravilno nadzirete svoj hibridni klaster sigurnosti podataka i odmah se obratite svim upozorenjima kako biste izbjegli prekid usluge.
Upozorenja
Ako postoji problem s postavkom Hybrid Data Security, Control Hub prikazuje upozorenja administratoru organizacije i šalje e-poštu na konfiguriranu adresa e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.
|
Upozorenje |
Radnja |
|---|---|
|
Pristup lokalnoj bazi podataka nije uspjetio. |
Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom. |
|
neuspjelo povezivanje s lokalnom bazom podataka. |
Provjerite je li poslužitelj baze podataka dostupan i da su ispravne vjerodajnice račun usluge korištene u konfiguraciji čvora. |
|
Neuspjeh pristupa usluzi u oblaku. |
Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje . |
|
Obnavljanje registracije usluge u oblaku. |
Odustala je registracija na usluge u oblaku. Obnova registracije je u tijeku. |
|
Registracija usluge u oblaku je pala. |
Registracija na usluge u oblaku je prekinuta. Usluga se gasi. |
|
Usluga još nije aktivirana. |
Aktivirajte probnu verziju ili dovršite premještanje probe u produkciju. |
|
Konfigurirana domena ne odgovara certifikat poslužitelja. |
Provjerite odgovara li certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja. |
|
Provjera autentičnosti na uslugama u oblaku nije uspjela. |
Provjerite točnost i mogući istek vjerodajnica račun usluge . |
|
Otvaranje datoteke lokalnog spremišta ključeva nije uspjelo. |
Provjerite integritet i točnost lozinke u datoteci lokalnog spremišta ključeva. |
|
certifikat poslužitelja nije važeći. |
Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdalo pouzdano tijelo za izdavač certifikata. |
|
Nije moguće objaviti mjerne podatke. |
Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku. |
|
/media/configdrive/hds direktorij ne postoji. |
Provjerite konfiguraciju ISO montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i da li se uspješno montira. |
Rješavanje problema sa sigurnošću hibridnih podataka
| 1 |
Pregledajte Control Hub za sva upozorenja i popravite sve stavke koje tamo pronađete. |
| 2 |
Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije Hybrid Data Security. |
| 3 |
Kontaktirajte Ciscova podrška . |
Poznati problemi za sigurnost hibridnih podataka
-
Ako zatvorite svoj hibridni klaster sigurnosti podataka (brisanjem u Control Hubu ili isključivanjem svih čvorova), izgubite svoju konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka pohrane ključeva, korisnici vaše Webex aplikacije više ne mogu koristiti prostore pod svojim osobama popis stvorenih ključevima iz vašeg KMS-a. To se odnosi i na probnu i na proizvodnu implementaciju. Trenutačno nemamo rješenje ili rješenje za ovaj problem i pozivamo vas da ne gasite svoje HDS usluge nakon što obrađuju aktivne korisničke račune.
-
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu neko vrijeme (vjerojatno jedan sat). Kada korisnik postane član probnog razdoblja Hybrid Data Security, korisnikov klijent nastavlja koristiti postojeću ECDH vezu dok ne istekne. Alternativno, korisnik se može odjaviti se i ponovno prijaviti u aplikaciju Webex App kako bi ažurirao lokaciju koju aplikacija kontaktira za ključeve za šifriranje.
Isto se ponašanje događa kada premjestite probnu verziju u produkciju za organizaciju. Svi neprobni korisnici s postojećim ECDH vezama s prethodnim uslugama sigurnosti podataka nastavit će koristiti te usluge sve dok se ECDH veza ponovno ne pregovara (putem vremenskog ograničenja ili odjavom i ponovnom prijavom).
Koristite OpenSSL za generiranje PKCS12 datoteke
Prije početka
-
OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
-
Ako se odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja ispunjava zahtjeve certifikata X.509 u X.509 Zahtjevi certifikata . Shvatite te zahtjeve prije nego što nastavite.
-
Instalirajte OpenSSL u podržanom okruženju. vidihttps://www.openssl.org za softver i dokumentaciju.
-
Napravite privatni ključ.
-
Započnite ovaj postupak kada primite certifikat poslužitelja od vašeg izdavatelja izdavač certifikata (CA).
| 1 |
Kada od CA primite certifikat poslužitelja , spremite ga kao |
| 2 |
Prikažite certifikat kao tekst i provjerite pojedinosti.
|
| 3 |
Koristite uređivač teksta za stvaranje datoteke paketa certifikata pod nazivom
|
| 4 |
Napravite .p12 datoteku s prijateljskim imenom
|
| 5 |
Provjerite pojedinosti certifikat poslužitelja . |
Što učiniti sljedeće
Vratite se na Ispunite preduvjete za sigurnost hibridnih podataka . Koristit ćete se hdsnode.p12 datoteku i lozinku koju ste za nju postavili u Izradite konfiguracijski ISO za HDS hostove .
| Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada izvorni certifikat istekne. |
Promet između HDS čvorova i oblaka
Odlazni promet prikupljanja mjernih podataka
Čvorovi Hybrid Data Security šalju određene metrike u Webex oblak. To uključuje metriku sustava za maksimalnu količinu hrpe, iskorištenu hrpu, opterećenje CPU -a i broj niti; metrike na sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag enkripcijskih veza, kašnjenje ili duljinu reda zahtjeva; metrika na pohrani podataka; i metriku enkripcije veze. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.
Ulazni promet
Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:
-
Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
-
Nadogradnje softvera čvora
Konfigurirajte Squid proxy za hibridnu sigurnost podataka
Websocket se ne može povezati putem proxy poslužitelja lignji
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa ( wss: ) veze koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida koje se ignoriraju wss: prometa za pravilan rad usluga.
Lignje 4 i 5
Dodajteon_unsupported_protocol direktiva za lignje.conf :
on_unsupported_protocol tunel sveLignje 3.5.27
Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.
acl wssMercuryConnection ssl::server_name_regex živa-vezassl_bump spajanje wssMercuryConnection acl korak1at_step SslBump1 acl korak 2at_step SslBump2 acl korak 3at_step SslBump3ssl_bump zavirite korak1 svessl_bump bulji korak2 svessl_bump bump step3 sveNove i promijenjene informacije
Datum | Promjene napravljene | ||
|---|---|---|---|
20. listopada 2023 |
| ||
07. kolovoza 2023 |
| ||
23. svibnja 2023 |
| ||
06. prosinca 2022 |
| ||
23. studenog 2022 |
| ||
13. listopada 2021 | Docker Desktop mora pokrenuti program za postavljanje prije nego što možete instalirati HDS čvorove. vidi Zahtjevi za Docker Desktop . | ||
24. lipnja 2021 | Primijetili smo da možete ponovno upotrijebiti datoteku privatnog ključa i CSR da biste zatražili drugi certifikat. vidi Koristite OpenSSL za generiranje PKCS12 datoteke za detalje. | ||
| 30. travnja 2021. | Promijenjen zahtjev za VM za lokalni prostor na tvrdom disku na 30 GB. vidi Zahtjevi virtualnog hosta za detalje. | ||
24. veljače 2021 | HDS Setup Tool sada može raditi iza proxyja. vidi Izradite konfiguracijski ISO za HDS hostove za detalje. | ||
2. veljače 2021 | HDS sada može raditi bez montirane ISO datoteke. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje. | ||
11. siječnja 2021 | Dodane su informacije o alatu za postavljanje HDS-a i proxyjima Izradite konfiguracijski ISO za HDS hostove . | ||
13. listopada 2020 | Ažurirano Preuzmite instalacijske datoteke . | ||
8. listopada 2020. | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s naredbama za FedRAMP okruženja. | ||
14. kolovoza 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove i Promijenite konfiguraciju čvora s promjenama u procesu prijave. | ||
5. kolovoza 2020 | Ažurirano Testirajte svoju implementaciju sigurnosti hibridnih podataka za promjene u porukama dnevnika. Ažurirano Zahtjevi virtualnog hosta za uklanjanje maksimalni broj hostova. | ||
16. lipnja 2020 | Ažurirano Uklonite čvor za promjene u korisničkom sučelju Control Hub-a. | ||
4. lipnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove za promjene u naprednim postavkama koje biste mogli postaviti. | ||
29. svibnja 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove kako bismo pokazali da također možete koristiti TLS s bazama podataka SQL Servera, promjenama korisničkog sučelja i drugim pojašnjenjima. | ||
5. svibnja 2020 | Ažurirano Zahtjevi virtualnog hosta prikazati novi zahtjev ESXi 6.5. | ||
21. travnja 2020 | Ažurirano Zahtjevi za vanjsko povezivanje s novim domaćinima Americas CI. | ||
1. travnja 2020. | Ažurirano Zahtjevi za vanjsko povezivanje s informacijama o regionalnim CI domaćinima. | ||
| 20. veljače 2020 | Ažurirano Izradite konfiguracijski ISO za HDS hostove s informacijama na novom opcionalnom zaslonu naprednih postavki u alatu za postavljanje HDS-a. | ||
| 4. veljače 2020 | Ažurirano Zahtjevi proxy poslužitelja . | ||
| 16. prosinca 2019. | Pojašnjen je zahtjev za rad u načinu rada Blocked External DNS Resolution Mode Zahtjevi proxy poslužitelja . | ||
| 19. studenog 2019 | Dodane su informacije o načinu razlučivanja blokiranog vanjskog DNS -a u sljedećim odjeljcima: | ||
8. studenog 2019 | Sada možete konfigurirati mrežne postavke za čvor tijekom implementacije OVA umjesto kasnije. U skladu s tim ažurirani su sljedeći odjeljci:
| ||
6. rujna 2019 | Dodan SQL Server Standard u Zahtjevi poslužitelja baze podataka . | ||
| 29. kolovoza 2019. | Dodano Konfigurirajte Squid proxy za hibridnu sigurnost podataka dodatak sa uputama za konfiguriranje proxyja Squid za zanemarivanje prometa websocketa radi ispravnog rada. | ||
| 20. kolovoza 2019 | Dodani i ažurirani odjeljci koji pokrivaju podršku proxyja za komunikacije čvora Hybrid Data Security u oblaku Webex . Da biste pristupili samo sadržaju podrške za proxy za postojeću implementaciju, pogledajte Proxy podrška za hibridnu sigurnost podataka i Webex Video Mesh članak pomoći. | ||
| 13. lipnja 2019 | Ažurirano Tijek zadatka od probnog do proizvodnog s podsjetnikom za sinkronizaciju HdsTrialGroup grupni objekt prije početka probne verzije ako vaša organizacija koristi sinkronizaciju imenika. | ||
| 6. ožujka 2019 |
| ||
| 28. veljače 2019. |
| ||
| 26. veljače 2019. |
| ||
24. siječnja 2019 |
| ||
| 5. studenog 2018 |
| ||
| 19. listopada 2018 |
| ||
31. srpnja 2018 |
| ||
| 21. svibnja 2018. | Promijenjena terminologija koja odražava rebranding Cisco Spark:
| ||
| 11. travnja 2018 |
| ||
| 22. veljače 2018 |
| ||
| 15. veljače 2018. |
| ||
| 18. siječnja 2018. |
| ||
2. studenog 2017 |
| ||
18. kolovoza 2017 | Prvi put objavljeno |
Pregled sigurnosti hibridnih podataka
Od prvog dana sigurnost podataka je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.
Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom sigurnosnom području. Hybrid Data Security premješta KMS i druge sigurnosne funkcije u vaš podaci poduzeća centar, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.
Arhitektura sigurnosnog područja
Arhitektura oblaka Webex razdvaja različite vrste usluga u zasebne domene ili domene povjerenja, kao što je prikazano u nastavku.
Da bismo bolje razumjeli hibridnu sigurnost podataka, pogledajmo najprije ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje se korisnici mogu izravno povezati s njihovim osobnim podacima kao što je adresa e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovni centar B. Obje su zauzvrat odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj , u podatkovni centar C.
Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na prijenosnom računalu korisnika i provjerava autentičnost uslugom identiteta. Kada korisnik sastavi poruku za slanje u prostor, odvijaju se sljedeći koraci:
Klijent uspostavlja sigurna veza s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. sigurna veza koristi ECDH, a KMS šifrira ključ pomoću AES-256 glavnog ključa.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka je pohranjena u području pohrane.
Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovom području.
Suradnja s drugim organizacijama
Korisnici u vašoj organizaciji mogu redovito koristiti aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak kroz zasebni ECDH kanal kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.
KMS usluga koja radi na organizaciji A provjerava valjanost veza s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. vidi Pripremite svoje okruženje za pojedinosti o generiranju x.509 certifikata za korištenje s vašom Hybrid Data Security implementacijom.
Očekivanja za implementaciju hibridne sigurnosti podataka
Implementacija Hybrid Data Security zahtijeva značajnu predanost korisnika i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.
Za implementaciju Hybrid Data Security morate osigurati:
Siguran podatkovni centar u zemlji koja je podržano mjesto za planove Cisco Webex Teams .
Oprema, softver i pristup mreži opisani u Pripremite svoje okruženje .
Potpuni gubitak bilo ISO konfiguracije koju ste izgradili za Hybrid Data Security ili baze podataka koju ste dali rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex . Ako se to dogodi, možete napraviti novu implementaciju, ali će biti vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:
Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO konfiguracije.
Budite spremni izvesti brzi oporavak od katastrofe od katastrofe ako se dogodi katastrofa, kao što je kvar diska baze podataka ili katastrofa podatkovni centar .
| Ne postoji mehanizam za premještanje ključeva natrag u oblak nakon implementacije HDS-a. |
Proces postavljanja na visokoj razini
Ovaj dokument pokriva postavljanje i upravljanje Hybrid Data Security implementacijom:
Postavite hibridnu sigurnost podataka —To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, testiranje vaše implementacije s podskupom korisnika u probnom načinu rada i, nakon što je testiranje završeno, prelazak na proizvodnju. To pretvara cijelu organizaciju da koristi vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.
Faze postavljanja, ispitivanja i proizvodnje detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju Hybrid Data Security — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku razine jedan za ovu implementaciju i angažirati Ciscova podrška prema potrebi. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Control Hubu.
Razumjeti uobičajena upozorenja, korake za rješavanje problema i poznate probleme —Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Security, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći da utvrdite i riješite problem.
Model implementacije hibridne sigurnosti podataka
Unutar vašeg podaci poduzeća centra postavljate Hybrid Data Security kao jedan klaster čvorova na zasebnim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih webutičnica i sigurnog HTTP-a.
Tijekom procesa instalacije dajemo vam OVA datoteku za postaviti virtualnog uređaja na VM-ovima koje ste dali. Koristite alat za postavljanje HDS-a za kreiranje ISO datoteke prilagođene konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš dostavljen Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Podatke o Syslogd-u i vezi s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)
Minimalni broj čvorova koji možete imati u klasteru je dva. Preporučujemo najmanje tri, a možete imati i do pet. Posjedovanje više čvorova osigurava da usluga nije prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. ( Webex oblak nadograđuje samo jedan po jedan čvor.)
Svi čvorovi u klasteru pristupaju istoj pohrani ključeva i bilježe aktivnost na istom poslužitelju syslog. Sami čvorovi su bez državljanstva i obrađuju ključne zahtjeve na kružni način, prema uputama oblaka.
Čvorovi postaju aktivni kada ih registrirate u Control Hubu. Da biste isključili pojedini čvor iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.
Podržavamo samo jedan klaster po organizaciji.
Probni način sigurnosti hibridnih podataka
Nakon postavljanja implementacije Hybrid Data Security, prvo je isprobate s skupom pilot korisnika. Tijekom probnog razdoblja, ti korisnici koriste vašu lokalnu domenu Hybrid Data Security za ključeve za šifriranje i druge usluge sigurnosnog područja. Vaši drugi korisnici nastavljaju koristiti područje sigurnosti u oblaku.
Ako odlučite ne nastaviti s implementacijom tijekom probnog razdoblja i deaktivirati uslugu, pilot korisnici i svi korisnici s kojima su stupili u interakciju stvaranjem novih prostora tijekom probnog razdoblja izgubit će pristup porukama i sadržaju. Vidjet će "Ovu poruku nije moguće dešifrirati" u aplikaciji Webex .
Ako ste zadovoljni da vaša implementacija dobro funkcionira za probne korisnike i spremni ste proširiti Hybrid Data Security na sve svoje korisnike, premjestite implementaciju u produkciju. Korisnici pilota i dalje imaju pristup ključevima koji su bili u upotrebi tijekom probnog razdoblja. Međutim, ne možete se kretati naprijed-natrag između proizvodnog načina i izvorne probne verzije. Ako morate deaktivirati uslugu, kao što je izvođenje oporavak od katastrofe od katastrofe, kada ponovno aktivirate, morate pokrenuti novu probnu verziju i postaviti skup pilot korisnika za novo probno razdoblje prije nego što se vratite u proizvodni način rada. Hoće li korisnici zadržati pristup podacima u ovom trenutku ovisi o tome jeste li uspješno održavali sigurnosne kopije pohrana podataka i ISO konfiguracijska datoteka za čvorove Hybrid Data Security u vašem klasteru.
Podatkovni centar u pripravnosti za oporavak od katastrofe
Tijekom implementacije postaviti sigurni podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovni centar , možete ručno ne uspjeti svoju implementaciju u podatkovni centar u stanju pripravnosti.
Baze podataka aktivnih i pričuvnih podatkovnih centara međusobno su sinkronizirane, što će minimizirati vrijeme potrebno za izvođenje prebacivanja. ISO datoteka podatkovni centar u stanju čekanja ažurira se dodatnim konfiguracijama koje osiguravaju da su čvorovi registrirani u organizaciji, ali neće upravljati prometom. Stoga čvorovi podatkovni centar u stanju čekanja uvijek ostaju ažurirani s najnovijom verzijom HDS softvera.
| Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovni centar kao i aktivni poslužitelj baze podataka. |
Postavite podatkovni centar u stanju čekanja za oporavak od katastrofe
Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovni centar u stanju čekanja:
Prije početka
podatkovni centar u stanju čekanja trebao bi odražavati proizvodno okruženje VM-ova i sigurnosnu kopiju baze podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. (Vidi Podatkovni centar u pripravnosti za oporavak od katastrofe za pregled ovog modela nadilaženja greške.)
Provjerite je li sinkronizacija baze podataka omogućena između baze podataka aktivnih i pasivnih čvorova klastera.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove .
| ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranici, dodajte konfiguraciju u nastavku da biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom.
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
Nakon konfiguriranja passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez passiveMode konfiguraciju i spremite je na sigurno mjesto. Ova kopija ISO datoteke bez passiveMode konfigurirano može pomoći u brzom procesu prelaska na kvar tijekom oporavak od katastrofe od katastrofe. vidi Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja za detaljan postupak prelaska na grešku.
Podrška za proxy
Hybrid Data Security podržava eksplicitne, transparentne proxy i neinspekciju proxyja. Ove proxy servere možete povezati sa svojom implementacijom tako da možete osigurati i pratiti promet iz poduzeća u oblak. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru ukupnog statusa povezivanja nakon što postaviti proxy na čvorove.
Čvorovi Hybrid Data Security podržavaju sljedeće proxy opcije:
Nema proxyja —Zadana postavka ako ne koristite konfiguraciju HDS čvora Trust Store & Proxy za integraciju proxyja. Nije potrebno ažuriranje certifikata.
Transparentni proxy bez inspekcije — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata.
Transparentno tuneliranje ili proxy za inspekciju — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelj . Na čvorovima nisu potrebne promjene konfiguracije HTTP ili HTTPS. Međutim, čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. Proxy proxy obično koristi IT za provođenje pravila o tome koja web-mjesta mogu biti posjećena i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy —S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu provjere autentičnosti da koriste. Da biste konfigurirali eksplicitni proxy, morate unijeti sljedeće podatke na svakom čvoru:
Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy stroju.
Proxy port —Broj porta koji proxy koristi za slušanje proxy prometa.
Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
HTTP—Pregledava i kontrolira sve zahtjeve koje klijent šalje.
HTTPS—pruža kanal za poslužitelj. Klijent prima i potvrđuje certifikat poslužitelja.
vrsta provjere autentičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
Nijedan — Nije potrebna daljnja provjera autentičnosti.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Osnovni —Koristi se za HTTP korisnički agent za davanje korisničkog imena i lozinke prilikom postavljanja zahtjeva. Koristi Base64 kodiranje.
Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Sažetak — Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže.
Dostupno samo ako odaberete HTTPS kao proxy protokol.
Zahtijeva da unesete korisničko ime i lozinku na svakom čvoru.
Primjer hibridnih čvorova za sigurnost podataka i proxyja
Ovaj dijagram prikazuje primjer veze između Hybrid Data Security, mreže i proxyja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru proxy opcija, isti korijenski certifikat mora biti instaliran na proxy i na čvorovima Hybrid Data Security.
Blokirani način razlučivanja vanjskog DNS -a (eksplicitne proxy konfiguracije)
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s oblakom Cisco Webex . U implementacijama s eksplicitnim proxy konfiguracijama koje ne dopuštaju vanjsko DNS razlučivanje za interne klijente, ako čvor ne može upitati DNS poslužitelje, automatski prelazi u način Blocked External DNS Resolution. U ovom načinu može se nastaviti registracija čvora i drugi testovi proxy povezivanja.
Zahtjevi za sigurnost hibridnih podataka
Zahtjevi za licencu Cisco Webex
Za implementaciju hibridne sigurnosti podataka:
Morate imati Pro Pack za Cisco Webex Control Hub. (Vidihttps://www.cisco.com/go/pro-pack .)
Zahtjevi za Docker Desktop
Prije nego što instalirate svoje HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša organizacija može zahtijevati plaćenu pretplatu za Docker Desktop. Za detalje pogledajte post na blogu Docker, " Docker ažurira i proširuje naše pretplate na proizvode ".
X.509 Zahtjevi certifikata
lanac certifikata mora ispunjavati sljedeće zahtjeve:
Uvjet | Pojedinosti |
|---|---|
| Prema zadanim postavkama, vjerujemo CA-ovima na Mozilla popisu (s izuzetkom WoSign i StartCom) nahttps://wiki.mozilla.org/CA:IncludedCAs . |
| CN ne mora biti dostupan niti biti domaćin uživo. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, CN ne smije sadržavati * (zamjenski znak). CN se koristi za provjeru čvorova Hybrid Data Security za klijente Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što ste registrirali čvor s ovim certifikatom, ne podržavamo promjenu naziva CN naziv domene. Odaberite domenu koja se može primijeniti i na probnu i na proizvodnu implementaciju. |
| KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija. |
| Možete koristiti pretvarač kao što je OpenSSL za promjenu formata certifikata. Morat ćete unijeti lozinku kada pokrenete HDS Setup Tool. |
KMS softver ne provodi korištenje ključa ili proširena ograničenja upotrebe ključa. Neka tijela za izdavanje certifikata zahtijevaju da se proširena ograničenja upotrebe ključa primjenjuju na svaki certifikat, kao što je provjera autentičnosti poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.
Zahtjevi virtualnog hosta
Virtualni hostovi koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru imaju sljedeće zahtjeve:
Najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar
VMware ESXi 6.5 (ili noviji) je instaliran i radi.
Morate nadograditi ako imate stariju verziju ESXi.
Najmanje 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju
Zahtjevi poslužitelja baze podataka
| Napravite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka. |
Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:
PostgreSQL | Microsoft SQL Server | ||
|---|---|---|---|
|
| ||
Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) | Najmanje 8 vCPU-a, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporuča se 2 TB ako želite pokrenuti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu) |
HDS softver trenutno instalira sljedeće verzije drajvera za komunikaciju s poslužitelj baze podataka:
PostgreSQL | Microsoft SQL Server |
|---|---|
Postgres JDBC drajver 42.2.5 | SQL Server JDBC upravljački program 4.6 Ova verzija upravljačkog programa podržava SQL Server Always On ( Uvijek uključene instance klastera za napuštanje greške i Grupe dostupnosti Always On ). |
Dodatni zahtjevi za Windows autentifikaciju na Microsoft SQL Serveru
Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka ključeva na Microsoft SQL Serveru, trebate sljedeću konfiguraciju u vašem okruženju:
HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju moći riješiti vaš centar za distribuciju ključeva (KDC).
Instancu baze podataka HDS možete registrirati na svom Microsoft SQL Serveru kao ime principala usluge (SPN) na vašem Active Directory. vidi Registrirajte naziv glavne usluge za Kerberos veze .
Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za konstruiranje SPN-a kada traže pristup s Kerberos provjerom autentičnosti.
Zahtjevi za vanjsko povezivanje
Konfigurirajte svoj vatrozid da omogući sljedeće povezivanje za HDS aplikacije:
Aplikacija | Protokol | Priključak | Smjer iz aplikacije | Odredište |
|---|---|---|---|---|
Čvorovi hibridne sigurnosti podataka | TCP | 443 | Odlazni HTTPS i WSS |
|
Alat za postavljanje HDS-a | TCP | 443 | Odlazni HTTPS |
|
| Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze na odredišta domene u prethodnoj tablici. Za veze koje ulaze u čvorove Hybrid Data Security, nikakvi portovi ne bi trebali biti vidljivi s interneta. Unutar vašeg podatkovni centar, klijenti trebaju pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe. |
URL-ovi za hostove zajedničkog identiteta (CI) su specifični za regiju. Ovo su trenutni CI hostovi:
Regija | Uobičajeni URL-ovi hosta identiteta |
|---|---|
Južna i Sjeverna Amerika |
|
Europska unija |
|
Kanada |
|
Zahtjevi proxy poslužitelja
Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim Hybrid Data Security čvorovima.
Transparentni proxy— Cisco Web Security Appliance (WSA).
Eksplicitni proxy—Squid.
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Da biste zaobišli ovaj problem, pogledajte Konfigurirajte Squid proxy za hibridnu sigurnost podataka .
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne proxy servere:
Nema provjere autentičnosti s HTTP ili HTTPS
Osnovna provjera autentičnosti s HTTP ili HTTPS
Digest autentifikacija samo s HTTPS-om
Za transparentni proxy proxy ili HTTPS eksplicitni proxy, morate imati kopiju korijenski certifikat proxyja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u skladišta povjerenja čvorova Hybrid Data Security.
Mreža koja hostira HDS čvorove mora biti konfigurirana da prisili izlazni TCP promet na portu 443 da usmjeri kroz proxy.
Proksiji koji provjeravaju web promet mogu ometati veze web utičnice. Ako se ovaj problem pojavi, zaobići (ne provjeravati) promet do
wbx2.comiciscospark.comriješit će problem.
Ispunite preduvjete za sigurnost hibridnih podataka
| 1 | Provjerite je li vaša Webex organizacija omogućena za Pro Pack za Cisco Webex Control Hub i pribavite vjerodajnice računa s punim administratorskim pravima organizacije. Obratite se svom Cisco partneru ili upravitelju računa za pomoć u ovom procesu. | ||
| 2 | Odaberite naziv domene za svoju HDS implementaciju (na primjer, | ||
| 3 | Pripremite identične virtualne hostove koje ćete postaviti kao Hybrid Data Security čvorove u svom klasteru. Potrebna su vam najmanje dva odvojena hosta (3 preporučena) smještena u istom sigurnom podatkovni centar koji ispunjavaju zahtjeve u Zahtjevi virtualnog hosta . | ||
| 4 | Pripremite poslužitelj baze podataka koji će djelovati kao ključna pohrana podataka za klaster, prema Zahtjevi poslužitelja baze podataka . Poslužitelj poslužitelj baze podataka mora biti smješten u sigurnom podatkovni centar s virtualnim hostovima. | ||
| 5 | Za brzi oporavak od katastrofe od katastrofe, postaviti okruženje za sigurnosnu kopiju u drugom podatkovni centar. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-a i poslužitelj baze podataka sigurnosne kopije. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, okruženje sigurnosne kopije treba imati 3 VM-a. | ||
| 6 | Postavite host syslog za prikupljanje zapisnika s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514). | ||
| 7 | Napravite sigurnosno sigurnosno kopiranje za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepopravljiv gubitak podataka, morate sigurnosno kopirati bazu podataka i konfiguracijsku ISO datoteku generiranu za čvorove Hybrid Data Security.
Klijenti aplikacije Webex spremaju svoje ključeve, tako da kvar možda neće biti odmah uočljiv, ali će s vremenom postati očigledan. Iako je privremene prekide nemoguće spriječiti, oni su nadoknadivi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima o korisnicima. Od operatera čvorova Hybrid Data Security se očekuje da održavaju česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te da budu spremni za ponovnu izgradnju podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara. | ||
| 8 | Osigurajte da konfiguracija vatrozida dopušta povezivanje za vaše Hybrid Data Security čvorove kao što je navedeno u Zahtjevi za vanjsko povezivanje . | ||
| 9 | Instaliraj Docker (https://www.docker.com ) na bilo kojem lokalnom računalu s podržanim OS (Microsoft Windows 10 Professional ili Enterprise 64-bit, ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Instancu Dockera koristite za preuzimanje i pokretanje alata za postavljanje HDS-a, koji gradi konfiguracijska informacija za sve čvorove Hybrid Data Security. Vaša organizacija možda treba licencu Docker Desktop. vidi Zahtjevi za Docker Desktop za više informacija. Da biste instalirali i pokrenuli alat za postavljanje HDS-a, lokalni stroj mora imati opisanu povezanost Zahtjevi za vanjsko povezivanje . | ||
| 10 | Ako integrirate proxy s Hybrid Data Security, provjerite zadovoljava li Zahtjevi proxy poslužitelja . | ||
| 11 | Ako vaša organizacija koristi sinkronizaciju imenika, stvorite grupu u Active Directory pod nazivom
|
Tijek zadatka implementacije hibridne sigurnosti podataka
Prije početka
| 1 | Preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoj lokalni stroj za kasniju upotrebu. | ||
| 2 | Izradite konfiguracijski ISO za HDS hostove Koristite alat za postavljanje HDS-a za stvaranje ISO konfiguracijska datoteka za čvorove Hybrid Data Security. | ||
| 3 |
Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke.
| ||
| 4 | Postavite VM za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. | ||
| 5 | Prenesite i montirajte ISO konfiguraciju HDS-a Konfigurirajte VM iz ISO konfiguracijska datoteka koju ste kreirali pomoću alata za postavljanje HDS-a. | ||
| 6 | Konfigurirajte HDS čvor za proxy integraciju Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u skladište povjerenja ako je potrebno. | ||
| 7 | Registrirajte prvi čvor u klasteru Registrirajte VM u oblaku Cisco Webex kao čvor za hibridnu sigurnost podataka. | ||
| 8 | Stvorite i registrirajte više čvorova Dovršite postavljanje klastera. | ||
| 9 | Pokrenite probnu verziju i prijeđite u produkciju (sljedeće poglavlje) Dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana. |
Preuzmite instalacijske datoteke
| 1 | Prijavite se nahttps://admin.webex.com , a zatim kliknite Usluge . | ||||
| 2 | U odjeljku Hybrid Services pronađite karticu Hybrid Data Security, a zatim kliknite Postavite . Ako je kartica onemogućena ili je ne vidite, obratite se svom timu za račun ili partnerskoj organizaciji. Dajte im broj svog računa i zamolite da omogućite svoju organizaciju za Hybrid Data Security. Da biste pronašli broj računa, kliknite zupčanik u gornjem desnom kutu, pored naziva svoje organizacije.
| ||||
| 3 | Odaberite ne da biste naznačili da još niste postaviti čvor, a zatim kliknite Dalje . OVA datoteka automatski počinje preuzimati. Spremite datoteku na mjesto na vašem računalu.
| ||||
| 4 | Po želji, kliknite Otvorite Vodič za implementaciju kako biste provjerili postoji li dostupna novija verzija ovog vodiča. |
Izradite konfiguracijski ISO za HDS hostove
Proces postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg hosta Hybrid Data Security.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem varijabli Docker okruženja kada u koraku otvorite Docker spremnik 5 . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTKonfiguracijska ISO datoteka koju generirate sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. Potrebna vam je najnovija kopija ove datoteke svaki put kada izvršite promjene u konfiguraciji, poput ovih:
Vjerodajnice baze podataka
Ažuriranja certifikata
Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postaviti svoju implementaciju PostgreSQL ili SQL Server za TLS.
| 1 | U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima:
| ||||||||||||
| 2 | Da biste se prijaviti se registar Docker slika, unesite sljedeće: | ||||||||||||
| 3 | Na upit za lozinku unesite ovaj hash: | ||||||||||||
| 4 | Preuzmite najnoviju stabilnu sliku za svoje okruženje: U uobičajenim okruženjima: U FedRAMP okruženjima: | ||||||||||||
| 5 | Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:
Kada je spremnik pokrenut, vidite "Ekspresno slušanje poslužitelja na portu 8080." | ||||||||||||
| 6 |
Upotrijebite web-preglednik da idite na localhost, Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat tada prikazuje standardni upit za prijavu. | ||||||||||||
| 7 | Kada se to od vas zatraži, unesite svoje vjerodajnice za prijavu administratora korisničkog centra Control Hub, a zatim kliknite Prijavite se kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security. | ||||||||||||
| 8 | Na stranici Pregled alata za postavljanje kliknite Započnite . | ||||||||||||
| 9 | Na ISO uvoz stranicu, imate ove opcije:
| ||||||||||||
| 10 | Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 Zahtjevi certifikata .
| ||||||||||||
| 11 | Unesite adresu baze podataka i račun za HDS za pristup vašoj ključnoj pohrani podataka: | ||||||||||||
| 12 | Odaberite a TLS način povezivanja baze podataka :
Kada učitate korijenski certifikat (ako je potrebno) i kliknite Nastavi , alat za postavljanje HDS-a testira TLS vezu s poslužitelj baze podataka. Alat također provjerava potpisnika certifikata i ime hosta, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o poruka o pogrešci opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s postavljanjem. (Zbog razlika u povezivanju, HDS čvorovi možda mogu uspostaviti TLS vezu čak i ako je stroj alata za postavljanje HDS ne može uspješno testirati.) | ||||||||||||
| 13 | Na stranici System Logs, konfigurirajte svoj Syslogd poslužitelj: | ||||||||||||
| 14 | (Izborno) Možete promijeniti zadana vrijednost za neke parametre povezivanja baze podataka u Napredne postavke . Općenito, ovaj parametar je jedini koji biste možda željeli promijeniti: | ||||||||||||
| 15 | Kliknite Nastavi na Poništi lozinku za račune usluge zaslon. Zaporke računa usluge imaju vijek trajanja od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliži isteku ili ih želite poništiti kako biste poništili prethodne ISO datoteke. | ||||||||||||
| 16 | Kliknite Preuzmite ISO datoteku . Spremite datoteku na mjesto koje je lako pronaći. | ||||||||||||
| 17 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||||||||||||
| 18 | Da biste isključili alat za postavljanje, upišite |
Što učiniti sljedeće
Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za promjenu konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.
| Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite. |
Instalirajte HDS Host OVA
| 1 | Upotrijebite VMware vSphere klijent na svom računalu za prijavu na ESXi virtualni host. | ||||||
| 2 | Odaberite Datoteka > Postavite OVF predložak . | ||||||
| 3 | U čarobnjaku navedite mjesto OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje . | ||||||
| 4 | Na Odaberite naziv i mapu stranicu, unesite a Naziv virtualnog stroja za čvor (na primjer, "HDS_ Node_ 1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualno računalo , a zatim kliknite Dalje . | ||||||
| 5 | Na Odaberite računalni resurs stranicu, odaberite odredišni računski resurs, a zatim kliknite Dalje . Pokreće se provjera valjanosti. Nakon što završi, pojavljuju se detalji predloška. | ||||||
| 6 | Provjerite detalje predloška, a zatim kliknite Dalje . | ||||||
| 7 | Ako se od vas traži da odaberete konfiguraciju resursa na Konfiguracija stranicu, kliknite 4 CPU a zatim kliknite Dalje . | ||||||
| 8 | Na Odaberite pohranu stranicu, kliknite Dalje za prihvaćanje zadanog formata diska i pravila pohrane VM -a. | ||||||
| 9 | Na Odaberite mreže na stranici, odaberite opciju mreže s popisa unosa kako biste pružili željenu povezanost s VM-om. | ||||||
| 10 | Na Prilagodite predložak stranicu, konfigurirajte sljedeće mrežne postavke:
Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti upute Postavite VM za hibridnu sigurnost podataka za konfiguriranje postavki s konzole čvora.
| ||||||
| 11 | Desnom tipkom miša kliknite VM čvora, a zatim odaberite . Softver Hybrid Data Security instaliran je kao gost na VM Host. Sada ste spremni za prijaviti se na konzolu i konfiguriranje čvora. Savjeti za rješavanje problema Možda ćete doživjeti kašnjenje od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka bridge firewall-a pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti se. |
Postavite VM za hibridnu sigurnost podataka
Upotrijebite ovaj postupak da se prvi put prijaviti se na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.
| 1 | U VMware vSphere klijentu odaberite svoj Hybrid Data Security čvor VM i odaberite Konzola tab. VM se pokreće i pojavljuje se prompt za prijavu. Ako se prompt za prijavu ne prikaže, pritisnite Uđi .
|
| 2 | Za prijaviti se i promjenu vjerodajnica koristite sljedeću zadanu prijavu i lozinku: Budući da se prvi put prijavljujete na svoj VM , morate promijeniti lozinku administratora. |
| 3 | Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA , preskočite ostatak ovog postupka. Inače, u glavni izbornik odaberite Uredi konfiguraciju opcija. |
| 4 | Postavite statičku konfiguraciju s IP adresa, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresa i DNS naziv. DHCP nije podržan. |
| 5 | (Neobavezno) Promijenite naziv hosta, domenu ili NTP poslužitelj(e) ako je potrebno da odgovara vašim mrežnim pravilima. Ne morate postaviti domenu da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. |
| 6 | Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu. |
Prenesite i montirajte ISO konfiguraciju HDS-a
Prije početka
Budući da ISO datoteka sadrži glavni ključ, trebala bi biti izložena samo na temelju "treba znati" za pristup VM-ovima Hybrid Data Security i svim administratorima koji bi mogli unijeti promjene. Provjerite da samo ti administratori mogu pristupiti spremištu podataka.
| 1 | Prenesite ISO datoteku sa svog računala: |
| 2 | Montirajte ISO datoteku: |
Što učiniti sljedeće
Ako vaša IT politika zahtijeva, možete po želji isključiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. vidi (Izborno) Isključite ISO nakon HDS konfiguracije za detalje.
Konfigurirajte HDS čvor za proxy integraciju
Ako mrežno okruženje zahtijeva proxy, upotrijebite ovaj postupak za navođenje vrste proxyja koji želite integrirati s Hybrid Data Security. Ako odaberete transparentni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instalaciju korijenski certifikat. Također možete provjeriti proxy vezu sa sučelja i riješiti sve potencijalne probleme.
Prije početka
vidi Podrška za proxy za pregled podržanih opcija proxyja.
| 1 | Unesite URL za postavljanje HDS čvora |
| 2 | Idi na Trust Store & Proxy , a zatim odaberite opciju:
Slijedite sljedeće korake za transparentni proxy proxy, eksplicitni HTTP proxy s osnovnom provjerom autentičnosti ili eksplicitni HTTPS proxy. |
| 3 | Kliknite Prenesite korijenski certifikat ili certifikat krajnjeg entiteta , a zatim idite na odabir korijenski certifikat za proxy. Certifikat je učitan, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona uz naziv izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku. |
| 4 | Kliknite Provjerite proxy vezu za testiranje mrežne povezanosti između čvora i proxyja. Ako test veze ne uspije, vidjet ćete poruku o poruka o pogrešci koja pokazuje razlog i kako možete ispraviti problem. Ako vidite poruku da vanjsko DNS razlučivanje nije bilo uspješno, čvor nije mogao doći do poslužitelj za DNS. Ovaj uvjet se očekuje u mnogim eksplicitnim proxy konfiguracijama. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blocked External DNS Resolution. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način razlučivanja blokiranog vanjskog DNS -a . |
| 5 | Nakon što test veze prođe, za eksplicitni proxy postavljen samo na https, uključite prekidač na Usmjerite sve zahtjeve za port 443/444 https s ovog čvora kroz eksplicitni proxy . Ova postavka zahtijeva 15 sekundi da stupi na snagu. |
| 6 | Kliknite Instalirajte sve certifikate u Trust Store (pojavljuje se za HTTPS eksplicitni proxy ili transparentni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za eksplicitni HTTP proxy), pročitajte upit, a zatim kliknite Instalirajte ako ste spremni. Čvor se ponovno pokreće u roku od nekoliko minuta. |
| 7 | Nakon što se čvor ponovno pokrene, ponovno se prijaviti se ako je potrebno, a zatim otvorite Pregled stranicu da provjerite provjere povezivanja kako biste bili sigurni da su sve u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s vezom, uobičajen je problem da su neke od domena oblaka navedene u uputama za instalaciju blokirane na proxyju. |
Registrirajte prvi čvor u klasteru
Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova koji su raspoređeni kako bi osigurali redundantnost.
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Prijavite se na https://admin.webex.com. |
| 2 | Na izborniku na lijevoj strani zaslona odaberite Usluge . |
| 3 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavite . Pojavljuje se stranica Registriraj hibridni sigurnosni čvor.
|
| 4 | Odaberite da kako biste naznačili da ste postaviti čvor i da ste spremni za registraciju, a zatim kliknite Dalje . |
| 5 | U prvo polje unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da imenujete klaster na temelju toga gdje se čvorovi klastera geografski nalaze. Primjeri: "San Francisco" ili "New York" ili "Dallas" |
| 6 | U drugo polje unesite internu IP adresa ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Dalje . Ova IP adresa ili FQDN bi se trebali podudarati s IP adresa ili imenom hosta i domenom na kojoj ste se koristili Postavite VM za hibridnu sigurnost podataka . Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
|
| 7 | Kliknite Idite na Node . |
| 8 | Kliknite Nastavi u poruka upozorenja. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup sigurnosnom čvoru hibridnih podataka. Tamo potvrđujete da želite svojoj Webex organizaciji dati dopuštenja za pristup vašem čvoru.
|
| 9 | Provjerite Dopustite pristup vašem hibridnom sigurnosnom čvoru podataka potvrdni okvir, a zatim kliknite Nastavi . Vaš je račun potvrđen i poruka "Registration Complete" označava da je vaš čvor sada registriran u Webex oblaku.
|
| 10 | Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Control Hub Hybrid Data Security. Na Hibridna sigurnost podataka stranici, prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.
|
Stvorite i registrirajte više čvorova
| U ovom trenutku, sigurnosne kopije VM-a u kojima ste kreirali Ispunite preduvjete za sigurnost hibridnih podataka su standby hostovi koji se koriste samo u slučaju oporavka od oporavak od katastrofe; do tada nisu registrirani u sustavu. Za detalje pogledajte Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja . |
Prije početka
Nakon što započnete registraciju čvora, morate je dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopustite iznimku za admin.webex.com.
| 1 | Izradite novi virtualno računalo iz OVA, ponavljajući korake u Instalirajte HDS Host OVA . |
| 2 | Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u Postavite VM za hibridnu sigurnost podataka . |
| 3 | Na novom VM-u ponovite korake u Prenesite i montirajte ISO konfiguraciju HDS-a . |
| 4 | Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za proxy integraciju prema potrebi za novi čvor. |
| 5 | Registrirajte čvor. Vaš čvor je registriran. Imajte na umu da dok ne započnete probnu verziju, vaši čvorovi generiraju alarm koji pokazuje da vaša usluga još nije aktivirana.
|
Što učiniti sljedeće
Tijek zadatka od probnog do proizvodnog
Nakon što postaviti hibridni klaster sigurnosti podataka, možete pokrenuti pilot, dodati mu korisnike i početi ga koristiti za testiranje i provjeru svoje implementacije u pripremi za prelazak na proizvodnju.
Prije početka
| 1 | Ako je primjenjivo, sinkronizirajte Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati |
| 2 |
Započnite probu. Dok ne izvršite ovaj zadatak, vaši čvorovi generiraju alarm koji pokazuje da usluga još nije aktivirana. |
| 3 | Testirajte svoju implementaciju sigurnosti hibridnih podataka Provjerite prolaze li ključni zahtjevi vašoj implementaciji Hybrid Data Security. |
| 4 | Pratite zdravlje hibridne sigurnosti podataka Provjerite status i postaviti obavijesti e-poštom za alarme. |
| 5 | |
| 6 | Dovršite probnu fazu jednom od sljedećih radnji: |
Aktivirajte probnu verziju
Prije početka
Ako vaša organizacija koristi sinkronizaciju imenika za korisnike, morate odabrati HdsTrialGroup grupni objekt za sinkronizaciju s oblakom prije nego što možete pokrenuti probnu verziju za svoju organizaciju. Za upute pogledajte Vodič za implementaciju za Cisco Directory Connector.
| 1 | Prijavite se nahttps://admin.webex.com , a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Započni suđenje . Status usluge mijenja se u probni način.
|
| 4 | Kliknite Dodajte korisnike i unesite adresa e-pošte jednog ili više korisnika za pilotiranje korištenjem vaših Hybrid Data Security čvorova za usluge šifriranja i indeksiranja. (Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory za upravljanje probnom grupom, |
Testirajte svoju implementaciju sigurnosti hibridnih podataka
Prije početka
Postavite svoju implementaciju Hybrid Data Security.
Aktivirajte probnu verziju i dodajte nekoliko probnih korisnika.
Osigurajte da imate pristup syslogu kako biste provjerili prosljeđuju li ključni zahtjevi vašoj Hybrid Data Security implementaciji.
| 1 | Ključeve za dati prostor postavlja kreator prostora. Prijavite se u aplikaciju Webex kao jedan od pilot korisnika, a zatim stvorite prostor i pozovite barem jednog pilot korisnika i jednog korisnika koji nije pilot.
| ||
| 2 | Šaljite poruke u novi prostor. | ||
| 3 | Provjerite izlaz syslog kako biste potvrdili da se zahtjevi za ključeve prosljeđuju vašoj Hybrid Data Security implementaciji. |
Pratite zdravlje hibridne sigurnosti podataka
| 1 | u Kontrolno čvorište , odaberite Usluge iz izbornika na lijevoj strani zaslona. |
| 2 | U odjeljku Hybrid Services pronađite Hybrid Data Security i kliknite Postavke . Pojavljuje se stranica Postavke sigurnosti hibridnih podataka.
|
| 3 | U odjeljku Obavijesti e-pošta -poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Uđi . |
Dodajte ili uklonite korisnike iz svoje probne verzije
Ako uklonite korisnika iz probne verzije, korisnikov klijent će zatražiti ključeve i izradu ključeva iz KMS-a u oblaku umjesto vašeg KMS-a. Ako klijent treba ključ koji je pohranjen na vašem KMS-u, KMS u oblaku će ga dohvatiti u ime korisnika.
Ako vaša organizacija koristi sinkronizaciju imenika, koristite Active Directory (umjesto ovog postupka) za upravljanje probnom grupom, HdsTrialGroup; možete vidjeti članove grupe u Control Hubu, ali ih ne možete dodati ili ukloniti.
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Probni način rada u području Status usluge kliknite Dodajte korisnike , ili kliknite pregledati i urediti za uklanjanje korisnika iz probe. |
| 4 | Unesite adresa e-pošte jednog ili više korisnika za dodavanje ili kliknite na X pomoću ID korisnika-a za uklanjanje korisnika iz probe. Zatim kliknite Spremi . |
Prijeđite s probnog na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Status usluge kliknite Prijeđite u produkciju . |
| 4 | Potvrdite da sve svoje korisnike želite premjestiti u produkciju. |
Završite probno razdoblje bez prelaska na produkciju
| 1 | Prijavite se u Control Hub, a zatim odaberite Usluge . |
| 2 | Pod Hybrid Data Security kliknite Postavke . |
| 3 | U odjeljku Deaktiviraj kliknite Deaktiviraj . |
| 4 | Potvrdite da želite deaktivirati uslugu i završiti probno razdoblje. |
Upravljajte HDS implementacijom
Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.
Postavite raspored nadogradnje klastera
Za postavljanje rasporeda nadogradnje:
| 1 | Prijavite se na Control Hub. |
| 2 | Na stranici Pregled u odjeljku Hibridne usluge odaberite Hibridna sigurnost podataka . |
| 3 | Na stranici Resursi za sigurnost hibridnih podataka odaberite klaster. |
| 4 | Na ploči Pregled s desne strane, u odjeljku Postavke klastera, odaberite naziv klastera. |
| 5 | Na stranici Postavke, u odjeljku Nadogradnja, odaberite vrijeme i vremenska zona za raspored nadogradnje. Napomena: Ispod vremenska zona prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Ako je potrebno, nadogradnju možete odgoditi za sljedeći dan klikom Odgoditi . |
Promijenite konfiguraciju čvora
Promjena x.509 certifikata zbog isteka ili drugih razloga.
Ne podržavamo promjenu naziva CN naziv domene certifikata. Domena mora odgovarati izvornoj domeni korištenoj za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku baze podataka PostgreSQL ili Microsoft SQL Server.
Ne podržavamo migraciju podataka s PostgreSQL na Microsoft SQL Server ili obrnuto. Za promjenu okruženja baze podataka pokrenite novu implementaciju Hybrid Data Security.
Izrada nove konfiguracije za pripremu novog podatkovni centar.
Također, iz sigurnosnih razloga, Hybrid Data Security koristi lozinke račun usluge koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira ove lozinke, postavljate ih na svaki od vaših HDS čvorova u ISO konfiguracijskoj datoteci. Kada se lozinke vaše organizacije bliže isteku, od Webex tima ćete primiti obavijest da poništite lozinku za račun vašeg računala. (E-poruka uključuje tekst "Koristite API računa računala za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam nudi dvije mogućnosti:
Soft reset — Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset —Stare lozinke odmah prestaju raditi.
Ako vaše lozinke istječu bez resetiranja, to utječe na vašu HDS uslugu, zahtijevajući trenutno hard reset i zamjenu ISO datoteke na svim čvorovima.
Koristite ovaj postupak za generiranje nove konfiguracijske ISO datoteke i primjenu na svoj klaster.
Prije početka
Alat za postavljanje HDS-a radi kao Docker spremnik na lokalnom računalu. Da biste mu pristupili, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Control Hub s punim administratorskim pravima za vašu organizaciju.
Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) kroz varijable Docker okruženja kada pokrenete Docker spremnik u 1.e . Ova tablica daje neke moguće varijable okruženja:
Opis
Varijabla
HTTP proxy bez autentifikacije
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS proxy bez autentifikacije
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP proxy s autentifikacijom
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s autentifikacijom
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTZa generiranje nove konfiguracije potrebna vam je kopija ISO datoteke trenutne konfiguracije. ISO sadrži glavni ključ za šifriranje PostgreSQL ili Microsoft SQL Server baze podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.
| 1 | Koristeći Docker na lokalnom računalu, pokrenite alat za postavljanje HDS-a.
| ||||||
| 2 | Ako imate pokrenut samo jedan HDS čvor , stvorite novi VM čvora Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Za detaljnije upute pogledajte Stvorite i registrirajte više čvorova . | ||||||
| 3 | Za postojeće HDS čvorove koji pokreću stariju konfiguracijska datoteka, montirajte ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: | ||||||
| 4 | Ponovite korak 3 da zamijenite konfiguraciju na svakom preostalom čvoru koji izvodi staru konfiguraciju. |
Isključite način razlučivanja blokiranog vanjskog DNS -a
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS traženje i povezanost s oblakom Cisco Webex . Ako poslužitelj za DNS čvora ne može razriješiti javna DNS imena, čvor automatski prelazi u način Blocked External DNS Resolution.
Ako vaši čvorovi mogu razriješiti javna DNS imena putem internih DNS poslužitelja, možete isključiti ovaj način ponovnim pokretanjem testa proxy veze na svakom čvoru.
Prije početka
| 1 | U web-pregledniku otvorite sučelje čvora Hybrid Data Security (IP adresa/postavka, na primjer,https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postaviti za čvor, a zatim kliknite Prijavite se . |
| 2 | Idi na Pregled (zadana stranica). Kada je omogućeno, Blokirana razlučivost vanjskog DNS -a je postavljeno na da . |
| 3 | Idite na Trust Store & Proxy stranica. |
| 4 | Kliknite Provjerite proxy vezu . Ako vidite poruku da vanjsko DNS razlučivanje nije bilo uspješno, čvor nije mogao doći do poslužitelj za DNS i ostat će u ovom načinu rada. U suprotnom, nakon što ponovno pokrenete čvor i vratite se na Pregled stranicu, razlučivost blokiranog vanjskog DNS -a treba postaviti na br. |
Što učiniti sljedeće
Uklonite čvor
| 1 | Upotrijebite VMware vSphere klijent na svom računalu da se prijavite na ESXi virtualni host i isključite virtualno računalo. |
| 2 | Uklonite čvor: |
| 3 | U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu, desni klik VM i kliknite Izbriši .) Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup vašim sigurnosnim podacima. |
Oporavak od katastrofe pomoću podatkovnog centra u stanju čekanja
Najkritičnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je izrada i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, zahtjevi za kreiranje novih ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je kreirao svim korisnicima koji su ovlašteni da ih dohvate, na primjer, članovima prostora za razgovor.
Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, imperativ je da klaster i dalje radi i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO -a koji se koristi za shemu rezultirat će NENAKONOVIM GUBITKOM sadržaja korisnika. Sljedeće prakse su obavezne kako bi se spriječio takav gubitak:
Ako katastrofa prouzrokuje da HDS implementacija u primarnom podatkovni centar postane nedostupna, slijedite ovaj postupak za ručni prijelaz na pričuvni podatkovni centar.
| 1 | Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izradite konfiguracijski ISO za HDS hostove . | ||
| 2 | Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke | ||
| 3 | Na Napredne postavke stranicu, dodajte konfiguraciju u nastavku ili uklonite
| ||
| 4 | Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. | ||
| 5 | Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnosnu kopiju sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije. | ||
| 6 | U lijevom navigacijskom oknu klijenta VMware vSphere, desni klik VM i kliknite Uredite postavke. . | ||
| 7 | Kliknite Uredi postavke > CD/ DVD pogon 1 i odaberite Datastore ISO File.
| ||
| 8 | Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta. | ||
| 9 | Ponovite postupak za svaki čvor u podatkovni centar u stanju pripravnosti.
|
Što učiniti sljedeće
(Izborno) Isključite ISO nakon HDS konfiguracije
Standardna HDS konfiguracija radi s montiranim ISO . No, neki korisnici više vole ne ostavljati ISO datoteke kontinuirano montirane. Možete isključiti ISO datoteku nakon što svi HDS čvorovi pokupe novu konfiguraciju.
I dalje koristite ISO datoteke za promjenu konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, možete ponovno demontirati ISO ovim postupkom.
Prije početka
Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.
| 1 | Isključite jedan od svojih HDS čvorova. |
| 2 | U vCenter poslužiteljskom uređaju odaberite HDS čvor. |
| 3 | Odaberite i poništite odabir ISO datoteka skladišta podataka . |
| 4 | Uključite HDS čvor i osigurajte da nema alarma najmanje 20 minuta. |
| 5 | Ponovite redom za svaki HDS čvor. |
Pregledajte upozorenja i rješavanje problema
Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi tako sporo da zahtijeva vremensko ograničenje. Ako korisnici ne mogu doći do vašeg hibridnog sigurnosnog klastera podataka, doživljavaju sljedeće simptome:
Ne mogu se stvoriti novi prostori (nije moguće stvoriti nove ključeve)
Poruke i naslovi prostora ne mogu se dešifrirati za:
Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje
Važno je da pravilno nadzirete svoj hibridni klaster sigurnosti podataka i odmah se obratite svim upozorenjima kako biste izbjegli prekid usluge.
Upozorenja
Ako postoji problem s postavkom Hybrid Data Security, Control Hub prikazuje upozorenja administratoru organizacije i šalje e-poštu na konfiguriranu adresa e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.
Upozorenje | Radnja |
|---|---|
Neuspjeh pristupa lokalnoj bazi podataka. |
Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom. |
neuspjelo povezivanje s lokalnom bazom podataka. |
Provjerite je li poslužitelj baze podataka dostupan i da su ispravne vjerodajnice račun usluge korištene u konfiguraciji čvora. |
Neuspjeh pristupa usluzi u oblaku. |
Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje . |
Obnavljanje registracije usluge u oblaku. |
Odustala je registracija na usluge u oblaku. Obnova registracije je u tijeku. |
Registracija usluge u oblaku je pala. |
Registracija na usluge u oblaku je prekinuta. Usluga se gasi. |
Usluga još nije aktivirana. |
Aktivirajte probnu verziju ili dovršite premještanje probe u produkciju. |
Konfigurirana domena ne odgovara certifikat poslužitelja. |
Provjerite odgovara li certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja. |
Provjera autentičnosti na uslugama u oblaku nije uspjela. |
Provjerite točnost i mogući istek vjerodajnica račun usluge . |
Otvaranje datoteke lokalnog spremišta ključeva nije uspjelo. |
Provjerite integritet i točnost lozinke u datoteci lokalnog spremišta ključeva. |
certifikat poslužitelja nije važeći. |
Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdalo pouzdano tijelo za izdavač certifikata. |
Nije moguće objaviti mjerne podatke. |
Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku. |
/media/configdrive/hds direktorij ne postoji. |
Provjerite konfiguraciju ISO montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i da li se uspješno montira. |
Rješavanje problema sa sigurnošću hibridnih podataka
| 1 | Pregledajte Control Hub za sva upozorenja i popravite sve stavke koje tamo pronađete. |
| 2 | Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije Hybrid Data Security. |
| 3 | Kontaktirajte Ciscova podrška . |
Poznati problemi za sigurnost hibridnih podataka
Ako zatvorite svoj hibridni klaster sigurnosti podataka (brisanjem u Control Hubu ili isključivanjem svih čvorova), izgubite svoju konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka pohrane ključeva, korisnici vaše Webex aplikacije više ne mogu koristiti prostore pod svojim osobama popis stvorenih ključevima iz vašeg KMS-a. To se odnosi i na probnu i na proizvodnu implementaciju. Trenutačno nemamo rješenje ili rješenje za ovaj problem i pozivamo vas da ne gasite svoje HDS usluge nakon što obrađuju aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu neko vrijeme (vjerojatno jedan sat). Kada korisnik postane član probnog razdoblja Hybrid Data Security, korisnikov klijent nastavlja koristiti postojeću ECDH vezu dok ne istekne. Alternativno, korisnik se može odjaviti se i ponovno prijaviti u aplikaciju Webex App kako bi ažurirao lokaciju koju aplikacija kontaktira za ključeve za šifriranje.
Isto se ponašanje događa kada premjestite probnu verziju u produkciju za organizaciju. Svi neprobni korisnici s postojećim ECDH vezama s prethodnim uslugama sigurnosti podataka nastavit će koristiti te usluge sve dok se ECDH veza ponovno ne pregovara (putem vremenskog ograničenja ili odjavom i ponovnom prijavom).
Koristite OpenSSL za generiranje PKCS12 datoteke
Prije početka
OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja ispunjava zahtjeve certifikata X.509 u X.509 Zahtjevi certifikata . Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. vidihttps://www.openssl.org za softver i dokumentaciju.
Napravite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od vašeg izdavatelja izdavač certifikata (CA).
| 1 | Kada od CA primite certifikat poslužitelja , spremite ga kao |
| 2 | Prikažite certifikat kao tekst i provjerite pojedinosti.
|
| 3 | Koristite uređivač teksta za stvaranje datoteke paketa certifikata pod nazivom
|
| 4 | Napravite .p12 datoteku s prijateljskim imenom
|
| 5 | Provjerite pojedinosti certifikat poslužitelja . |
Što učiniti sljedeće
Vratite se na Ispunite preduvjete za sigurnost hibridnih podataka . Koristit ćete se hdsnode.p12 datoteku i lozinku koju ste za nju postavili u Izradite konfiguracijski ISO za HDS hostove .
| Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada izvorni certifikat istekne. |
Promet između HDS čvorova i oblaka
Odlazni promet prikupljanja mjernih podataka
Čvorovi Hybrid Data Security šalju određene metrike u Webex oblak. To uključuje metriku sustava za maksimalnu količinu hrpe, iskorištenu hrpu, opterećenje CPU -a i broj niti; metrike na sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag enkripcijskih veza, kašnjenje ili duljinu reda zahtjeva; metrika na pohrani podataka; i metriku enkripcije veze. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.
Ulazni promet
Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:
Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora
Konfigurirajte Squid proxy za hibridnu sigurnost podataka
Websocket se ne može povezati putem Squid proxyja
Squid proxyji koji provjeravaju HTTPS promet mogu ometati uspostavljanje websocketa ( wss:) veze koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida koje se ignoriraju wss: prometa za pravilan rad usluga.
Lignje 4 i 5
Dodajte on_unsupported_protocol direktiva za squid.conf:
on_unsupported_protocol tunnel allLignje 3.5.27
Uspješno smo testirali hibridnu sigurnost podataka uz dodana sljedeća pravila squid.conf. Ova pravila podložna su promjeni kako razvijamo značajke i ažuriramo Webex oblak.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allPredgovor
Novi i promijenjeni podaci
|
Datum |
Izvršene promjene |
|---|---|
|
20. listopada 2023. |
|
|
07. kolovoza 2023. |
|
|
23. svibnja 2023. |
|
|
06. prosinca 2022. |
|
|
23. studenog 2022. |
|
|
13. listopada 2021. |
Prije nego što instalirate HDS čvorove, Docker Desktop mora pokrenuti program za postavljanje. Pogledajte odjeljak Preduvjeti za radnu površinu za prikvačivanje. |
|
24. lipnja 2021. |
Napomenuto je da datoteku privatnog ključa i CSR možete ponovno upotrijebiti za traženje drugog certifikata. Pogledajte odjeljak Upotrijebite OpenSSL za generiranje PKCS12 datoteke koji sadrži detalje. |
| 30. travnja 2021. |
Promijenjen je zahtjev za VM za lokalni prostor na tvrdom disku na 30 GB. Pogledajte odjeljak Zahtjevi za virtualno glavno računalo za detalje. |
|
24. veljače 2021. |
Alat za postavljanje HDS-a sada se može pokrenuti iza proxyja. Pogledajte odjeljak Stvaranje ISO konfiguracije za HDS organizatore koji sadrži detalje. |
|
02.02.2021. |
HDS sada može raditi bez ugrađene ISO datoteke. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije . |
|
11. siječnja 2021. |
Dodane informacije o alatu za postavljanje HDS-a i proxyjima za Stvaranje ISO konfiguracije za HDS organizatore. |
|
13. listopada 2020. |
Ažurirane su instalacijske datoteke preuzimanja. |
|
8. listopada 2020. |
Ažurirane značajke Stvaranje ISO konfiguracije za HDS organizatore i Promjena konfiguracije čvora naredbama za FedRAMP okruženja. |
|
14. kolovoza 2020. |
Ažurirane značajke Stvaranje ISO konfiguracije za HDS organizatore i Promjena konfiguracije čvora s promjenama u procesu prijave. |
|
05. kolovoza 2020. |
Ažurirano je Testirajte implementaciju hibridne zaštite podataka za promjene u porukama zapisnika. Ažurirani su preduvjeti virtualnog organizatora za uklanjanje maksimalnog broja organizatora. |
|
16. lipnja 2020. |
Ažurirano je Uklanjanje čvora za promjene u korisničkom sučelju Control Hub. |
|
04. lipnja 2020. |
Ažurirana opcija Izradite ISO konfiguraciju za HDS organizatore za promjene u naprednim postavkama koje možete postaviti. |
|
29. svibnja 2020. |
Ažurirano je Izradite ISO konfiguraciju za HDS organizatore kako bi se prikazalo da možete upotrebljavati i TLS s bazama podataka SQL Server, promjenama korisničkog sučelja i drugim objašnjenjima. |
|
05. svibnja 2020. |
Ažurirani su zahtjevi za virtualno glavno računalo kako bi se prikazao novi zahtjev za ESXi 6.5. |
|
21. travnja 2020. |
Zahtjevi za vanjsku povezivost ažurirani su s novim Americas CI organizatorima. |
|
1. travnja 2020. |
Zahtjevi za vanjsku povezivost ažurirani su s informacijama o regionalnim CI organizatorima. |
| 20. veljače 2020. | Ažurirano je Izradite ISO konfiguraciju za HDS organizatore s informacijama o novom neobaveznom zaslonu Napredne postavke u alatu za postavljanje HDS-a. |
| 4. veljače 2020. | Ažurirani su preduvjeti za proxy poslužitelj. |
| 16. prosinca 2019. | Pojasnio je zahtjev za blokirani način vanjskog DNS razlučivosti za rad u Zahtjevima za proxy poslužitelj. |
| 19. studenog 2019. |
Dodane informacije o načinu blokiranja vanjskog DNS razlučivosti u sljedećim odjeljcima: |
|
8. studenog 2019. |
Sada možete konfigurirati mrežne postavke za čvor dok implementirate OVA, a ne kasnije. U skladu s tim ažurirani su sljedeći odjeljci: Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 6.5. Opcija možda neće biti dostupna u ranijim verzijama. |
|
6. rujna 2019. |
Dodan je standard SQL poslužitelja u Preduvjeti poslužitelja baze podataka. |
| 29. kolovoza 2019. | Dodan je dodatak Konfiguriranje proxy poslužitelja za hibridnu zaštitu podataka s uputama o konfiguriranju proxy poslužitelja za lignje kako biste zanemarili promet web-socket protokola za ispravan rad. |
| 20. kolovoza 2019. |
Dodani i ažurirani odjeljci koji pokrivaju podršku proxyja za komunikaciju čvora hibridne zaštite podataka u oblaku Webex. Kako biste pristupili samo sadržaju podrške za proxy za postojeću implementaciju, pogledajte članak pomoći Proxy podrška za hibridnu zaštitu podataka i Webex Video Mesh . |
| 13. lipnja 2019. | Ažurirana je probna verzija u tijek zadataka produkcije s podsjetnikom za sinkronizaciju objekta skupine HdsTrialGroup prije pokretanja probne verzije ako vaša organizacija upotrebljava sinkronizaciju direktorija. |
| 06. ožujka 2019. |
|
| 28. veljače 2019. |
|
| 26. veljače 2019. |
|
|
24. siječnja 2019. |
|
| 5. studenog 2018. |
|
| 19. listopada 2018. |
|
|
31. srpnja 2018. |
|
| 21. svibnja 2018. |
Promijenjena terminologija koja odražava rebranding Cisco Sparka:
|
| 11. travnja 2018. |
|
| 22. veljače 2018. |
|
| 15. veljače 2018. |
|
| 18. siječnja 2018. |
|
|
2. studenog 2017. |
|
|
18. kolovoza 2017. |
Prvo objavljeno |
Početak rada uz hibridnu zaštitu podataka
Pregled sigurnosti hibridnih podataka
Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.
Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.
Arhitektura sigurnosnog područja
Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.
Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.
Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:
-
Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
-
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
-
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
-
Šifrirana poruka pohranjena je u području pohrane.
Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.
Suradnja s drugim organizacijama
Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.
KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju x.509 certifikata za upotrebu s implementacijom hibridne zaštite podataka pogledajte Priprema okruženja .
Očekivanja za implementaciju hibridne zaštite podataka
Implementacija hibridne zaštite podataka zahtijeva značajnu predanost korisnika i svijest o rizicima koji dolaze s vlasničkim ključevima za šifriranje.
Da biste implementirali hibridnu zaštitu podataka, morate navesti:
-
Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:
-
Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
-
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.
Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.
Postupak postavljanja na visokoj razini
Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka:
Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, testiranje implementacije s podskupom korisnika u načinu probe i, po dovršetku testiranja, prelazak na proizvodnju. Time se konvertira čitava organizacija na upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.
Faze postavljanja, probnog rada i produkcije detaljno su obrađene u sljedeća tri poglavlja.
-
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Control Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
-
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.
Model implementacije hibridne zaštite podataka
Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.
Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)
Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)
Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.
Čvorovi se aktiviraju kada ih registrirate u okruženju Control Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.
Podržavamo samo jedan klaster po organizaciji.
Način probe hibridne zaštite podataka
Nakon što postavite implementaciju hibridne zaštite podataka, prvo je isprobajte sa skupom pilot korisnika. Tijekom razdoblja probe ti korisnici upotrebljavaju vašu lokalnu domenu hibridne zaštite podataka za ključeve za šifriranje i druge usluge sigurnosti. Vaši drugi korisnici i dalje upotrebljavaju područje sigurnosti u oblaku.
Ako odlučite ne nastaviti s implementacijom tijekom probe i deaktivirati uslugu, korisnici pilot-programa i svi korisnici s kojima su bili u interakciji stvaranjem novih prostora tijekom razdoblja probe izgubit će pristup porukama i sadržaju. Vidjet će „Ova se poruka ne može dešifrirati“ u aplikaciji Webex.
Ako smatrate da vaša implementacija dobro funkcionira za probne korisnike i da ste spremni proširiti hibridnu zaštitu podataka na sve svoje korisnike, premještate implementaciju u proizvodnju. Korisnici pilot-programa i dalje imaju pristup ključevima koji su se upotrebljavali tijekom probe. Međutim, ne možete se kretati unatrag između načina rada produkcije i izvornog probnog razdoblja. Ako morate deaktivirati uslugu, kao što je izvršavanje oporavka od katastrofe, kada reaktivirate morate pokrenuti novo probno razdoblje i postaviti pilot korisnika za novo probno razdoblje prije povratka u način rada produkcije. Hoće li korisnici zadržati pristup podacima u ovom trenutku ovisi o tome jeste li uspješno zadržali sigurnosne kopije ključne pohrane podataka i ISO konfiguracijske datoteke za čvorove hibridne zaštite podataka u svom klasteru.
Podatkovni centar u pripravnosti za oporavak od katastrofa
Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.
Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške. ISO datoteka podatkovnog centra pripravnosti ažurira se dodatnim konfiguracijama koje osiguravaju da su čvorovi registrirani u organizaciji, ali da neće rukovati prometom. Stoga čvorovi podatkovnog centra u pripravnosti uvijek ostaju ažurni s najnovijom verzijom HDS softvera.
Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.
Postavljanje podatkovnog centra u pripravnosti za oporavak od katastrofa
Slijedite korake u nastavku kako biste konfigurirali ISO datoteku podatkovnog centra pripravnosti:
Prije početka
-
Podatkovni centar u pripravnosti trebao bi odražavati produkcijsko okruženje VM-a i rezervnu bazu podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a. (Za pregled tog modela prebacivanja u slučaju pogreške pogledajte Podatkovni centar u pripravnosti za oporavak od katastrofa .)
-
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.
| 1 |
Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju se moraju izvršiti sljedeća ažuriranja konfiguracije. |
| 2 |
Nakon konfiguriranja Syslogd poslužitelja kliknite Napredne postavke |
| 3 |
Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom.
|
| 4 |
Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. |
| 5 |
Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju. |
| 6 |
U lijevom navigacijskom oknu klijenta VMware vSphere desnom tipkom miša kliknite na VM i kliknite na Uredi postavke.. |
| 7 |
Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova. |
| 8 |
Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta. |
| 9 |
Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti. Provjerite syslogs kako biste provjerili jesu li čvorovi u pasivnom načinu rada. Trebali biste moći vidjeti poruku "KMS konfiguriran u pasivnom načinu rada" u syslogu. |
Što učiniti sljedeće
Nakon što konfigurirate passiveMode u ISO datoteku i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfigurirane passiveMode može pomoći u brzom postupku prebacivanja tijekom oporavka od katastrofe. Pogledajte odjeljak Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti za detaljan postupak prebacivanja.
Podrška za proxy poslužitelje
Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.
Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:
-
Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
-
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
-
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
-
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
-
Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
-
Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
-
Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
-
HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
-
HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
-
-
Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
-
Ništa – nije potrebna dodatna provjera autentičnosti.
Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
-
Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
-
Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
Dostupno samo ako kao proxy protokol odaberete HTTPS.
Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
-
-
Primjer hibridnih čvorova i proxyja za sigurnost podataka
Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.
Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.
Pripremite svoje okruženje
Zahtjevi za sigurnost hibridnih podataka
Preduvjeti za licencu Cisco Webex
Da biste implementirali hibridnu zaštitu podataka:
-
Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)
Preduvjeti za radnu površinu
Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".
Zahtjevi za X.509 certifikat
Lanac certifikata mora ispunjavati sljedeće zahtjeve:
|
Uvjet |
Pojedinosti |
|---|---|
|
Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, npr. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene. Odaberite domenu koja se može primijeniti na probnu i produkcijsku implementaciju. |
|
Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija. |
|
Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a. |
Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.
Zahtjevi virtualnog organizatora
Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:
-
Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
-
Instaliran i pokrenut je VMware ESXi 6.5 (ili noviji).
Morate nadograditi ako imate raniju verziju alata ESXi.
-
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju
Preduvjeti poslužitelja baze podataka
Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.
Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:
|
PostgreSQL |
Microsoft SQL poslužitelj |
|---|---|
|
|
|
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane) |
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane) |
Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:
|
PostgreSQL |
Microsoft SQL poslužitelj |
|---|---|
|
Postgres JDBC upravljački program 42.2.5 |
SQL Server JDBC upravljački program 4.6 Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti). |
Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server
Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:
-
Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
-
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
-
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
-
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.
HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.
Zahtjevi za vanjsku povezivost
Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:
|
Aplikacija |
Protokol |
Priključak |
Smjer iz aplikacije |
Odredište |
|---|---|---|---|---|
|
Čvorovi hibridne zaštite podataka |
TCP |
443 |
Izlazni HTTPS i WSS |
|
|
Alat za postavljanje HDS-a |
TCP |
443 |
Izlazni HTTPS |
|
Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.
URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:
|
Regija |
URL-ovi organizatora zajedničkog identiteta |
|---|---|
|
Južna i Sjeverna Amerika |
|
|
Europska unija |
|
|
Kanada |
|
Preduvjeti proxy poslužitelja
-
Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
-
Prozirni proxy – Cisco Web Security Appliance (WSA).
-
Eksplicitni proxy – lignje.
Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
-
-
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
-
Nema provjere autentičnosti s HTTP ili HTTPS-om
-
Osnovna provjera autentičnosti s HTTP ili HTTPS-om
-
Probavi provjeru autentičnosti samo s HTTPS-om
-
-
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
-
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
-
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u
wbx2.com i ciscospark.com riješit ćeproblem.
Dovrši preduvjete za sigurnost hibridnih podataka
| 1 |
Provjerite je li vaša Webex organizacija omogućena za Pro Pack za Cisco Webex Control Hub i preuzmite vjerodajnice računa s pravima potpunog administratora organizacije. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. |
| 2 |
Odaberite naziv domene za svoju HDS implementaciju (na primjer, |
| 3 |
Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora. |
| 4 |
Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. |
| 5 |
Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a. |
| 6 |
Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514). |
| 7 |
Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha. |
| 8 |
Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje. |
| 9 |
Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Vašoj će organizaciji možda trebati licenca za Docker za radnu površinu. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost. |
| 10 |
Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj. |
| 11 |
Ako vaša organizacija upotrebljava sinkronizaciju direktorija, izradite skupinu u Active Directoryju pod nazivom Tipke za dani prostor postavlja tvorac prostora. Prilikom odabira pilot korisnika imajte na umu da ako odlučite trajno deaktivirati implementaciju hibridne zaštite podataka, svi korisnici gube pristup sadržaju u prostorima koje su stvorili pilot korisnici. Gubitak se pojavljuje čim aplikacije korisnika osvježe svoje kopije sadržaja u predmemoriji. |
Postavljanje klastera hibridne zaštite podataka
Tijek zadatka implementacije hibridne zaštite podataka
Prije početka
| 1 |
Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu. |
| 2 |
Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka. |
| 3 |
Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 6.5. Opcija možda neće biti dostupna u ranijim verzijama. |
| 4 |
Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e. |
| 5 |
Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a. |
| 6 |
Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica. |
| 7 |
Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka. |
| 8 |
Izradite i registrirajte više čvorova Dovršite postavljanje klastera. |
| 9 |
Pokrenite probnu verziju i premjestite se na produkciju (sljedeće poglavlje) Dok ne pokrenete probnu verziju, vaši čvorovi generiraju alarm koji naznačuje da vaša usluga još nije aktivirana. |
Preuzmi instalacijske datoteke
| 1 |
Prijavite se u https://admin.webex.com, a zatim kliknite Usluge. |
| 2 |
U odjeljku Hibridne usluge pronađite karticu Hibridne zaštite podataka, a zatim kliknite na Postavljanje. Ako je kartica onemogućena ili ne vidite, obratite se timu za račun ili partnerskoj organizaciji. Dajte im svoj broj računa i zatražite da vašoj organizaciji omogući hibridnu zaštitu podataka. Da biste pronašli broj računa, kliknite zupčanik u gornjem desnom kutu pored naziva organizacije. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć na stranici Postavke . Na kartici hibridne zaštite podataka kliknite na Uredi postavke kako biste otvorili stranicu. Zatim kliknite na Preuzmi softver hibridne zaštite podataka u odjeljku Pomoć . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. |
| 3 |
Odaberite Ne kako biste naznačili da još niste postavili čvor, a zatim kliknite Dalje. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
|
| 4 |
Opcionalno kliknite na Otvori vodič za implementaciju kako biste provjerili postoji li dostupna novija verzija ovog vodiča. |
Izradite ISO konfiguraciju za HDS organizatore
Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.
Prije nego što počnete
-
HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.
Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:
Opis
Varijabla
HTTP proxy bez provjere autentičnosti
GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORTHTTPS proxy bez provjere autentičnosti
GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORTHTTP proxy s provjerom autentičnosti
GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s provjerom autentičnosti
GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
-
Vjerodajnice baze podataka
-
Ažuriranja certifikata
-
Promjene pravila autorizacije
-
-
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.
| 1 |
Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: U FedRAMP okruženjima: Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. | ||||||||||
| 2 |
Da biste se prijavili u Dockerov registar slika, unesite sljedeće: | ||||||||||
| 3 |
Na upit za zaporku unesite ovaj hash: | ||||||||||
| 4 |
Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: U FedRAMP okruženjima: | ||||||||||
| 5 |
Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:
Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". | ||||||||||
| 6 |
Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru, Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu. | ||||||||||
| 7 |
Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora korisnika u Control Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka. | ||||||||||
| 8 |
Na stranici pregleda alata za postavljanje kliknite Početak rada. | ||||||||||
| 9 |
Na stranici ISO uvoza imate sljedeće mogućnosti:
| ||||||||||
| 10 |
Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.
| ||||||||||
| 11 |
Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu: | ||||||||||
| 12 |
Odaberite način povezivanja TLS baze podataka:
Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.) | ||||||||||
| 13 |
Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj: | ||||||||||
| 14 |
(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti: | ||||||||||
| 15 |
Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga . Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka. | ||||||||||
| 16 |
Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći. | ||||||||||
| 17 |
Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju. | ||||||||||
| 18 |
Da biste zatvorili alat za postavljanje, upišite |
Što učiniti sljedeće
Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.
Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.
Instalirajte OVA organizatora za HDS
| 1 |
Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo. |
| 2 |
Odaberite Datoteka > Implementacija OVF predloška. |
| 3 |
U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje. |
| 4 |
Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje. |
| 5 |
Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška. |
| 6 |
Provjerite pojedinosti predloška i kliknite na Dalje. |
| 7 |
Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje. |
| 8 |
Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM. |
| 9 |
Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om. |
| 10 |
Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke:
Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 6.5. Opcija možda neće biti dostupna u ranijim verzijama. |
| 11 |
Desnom tipkom miša kliknite VM čvora, a zatim odaberite . Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti. |
Postavljanje VM hibridne zaštite podataka
Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
| 1 |
U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
|
| 2 |
Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku. |
| 3 |
Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju . |
| 4 |
Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. |
| 5 |
(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. |
| 6 |
Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu. |
Prijenos i postavljanje ISO HDS konfiguracije
Prije početka
Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.
| 1 |
Prenesite ISO datoteku s računala: |
| 2 |
Postavite ISO datoteku: |
Što učiniti sljedeće
Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .
Konfiguriranje HDS čvora za integraciju proxy poslužitelja
Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.
Prije nego što počnete
| 1 |
U web-preglednik unesite URL za postavljanje HDS čvora |
| 2 |
Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost:
Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy. |
| 3 |
Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku. |
| 4 |
Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti. |
| 5 |
Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu. |
| 6 |
Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta. |
| 7 |
Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju. |
Registrirajte prvi čvor u klasteru
Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.
Prije početka
-
Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
-
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.
| 1 |
Prijavite se na https://admin.webex.com. |
| 2 |
Na izborniku na lijevoj strani zaslona odaberite Usluge. |
| 3 |
U odjeljku Hibridne usluge pronađite Hibridna zaštita podataka i kliknite na Postavi. Pojavit će se stranica čvora Registracija hibridne zaštite podataka.
|
| 4 |
Odaberite Da kako biste naznačili da ste postavili čvor i da ste ga spremni registrirati, a zatim kliknite Dalje. |
| 5 |
U prvom polju unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas" |
| 6 |
U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dalje. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
|
| 7 |
Kliknite na Idi na čvor. |
| 8 |
Kliknite na Nastavi u poruci upozorenja. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
|
| 9 |
Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
|
| 10 |
Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka okruženja Control Hub. Na stranici Hibridna zaštita podataka prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.
|
Izradite i registrirajte više čvorova
U ovom trenutku, rezervni VM-ovi koje ste stvorili u odjeljku Dovrši preduvjete za hibridnu zaštitu podataka su organizatori u pripravnosti koji se koriste samo u slučaju oporavka od katastrofe; do tada nisu registrirani u sustavu. Detalje potražite u odjeljku Oporavak od katastrofa pomoću podatkovnog centra za pripravnost.
Prije početka
-
Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
-
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.
| 1 |
Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a. |
| 2 |
Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka. |
| 3 |
Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a. |
| 4 |
Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor. |
| 5 |
Registrirajte čvor. Vaš je čvor registriran. Imajte na umu da dok ne pokrenete probnu verziju, vaši čvorovi generiraju alarm koji označava da vaša usluga još nije aktivirana.
|
Što učiniti sljedeće
Pokrenite probnu verziju i premjestite se na produkciju
Probno razdoblje za tijek zadatka produkcije
Nakon što postavite klaster hibridne zaštite podataka, možete pokrenuti pilot, dodati korisnike u njega i početi ga upotrebljavati za testiranje i provjeru implementacije u pripremi za prelazak na proizvodnju.
Prije početka
| 1 |
Ako je primjenjivo, sinkronizirajte objekt grupe Ako vaša organizacija upotrebljava sinkronizaciju direktorija za korisnike, prije pokretanja probe morate odabrati objekt skupine |
| 2 |
Pokrenite probnu verziju. Dok ne izvršite ovaj zadatak, vaši čvorovi generiraju alarm koji označava da usluga još nije aktivirana. |
| 3 |
Testiranje implementacije hibridne zaštite podataka Provjerite prenose li se ključni zahtjevi vašoj implementaciji hibridne zaštite podataka. |
| 4 |
Praćenje stanja hibridne zaštite podataka Provjerite status i postavite obavijesti e-poštom za alarme. |
| 5 | |
| 6 |
Dovršite probnu fazu jednom od sljedećih radnji: |
Aktiviraj probno razdoblje
Prije početka
Ako vaša organizacija upotrebljava sinkronizaciju direktorija za korisnike, morate odabrati objekt skupine HdsTrialGroup za sinkronizaciju u oblak prije nego što možete pokrenuti probnu verziju za svoju organizaciju. Za upute pogledajte odjeljak Vodič za implementaciju usluge Cisco Directory Connector.
| 1 |
Prijavite se na https://admin.webex.com, a zatim odaberite Usluge. |
| 2 |
U izborniku Hibridna zaštita podataka kliknite na Postavke. |
| 3 |
U odjeljku Status usluge kliknite na Pokreni probnu verziju. Status usluge mijenja se u način probe.
|
| 4 |
Kliknite na Dodaj korisnike i unesite adresu e-pošte jednog ili više korisnika kako biste testirali upotrebu čvorova hibridne zaštite podataka za usluge šifriranja i indeksiranja. (Ako vaša organizacija upotrebljava sinkronizaciju direktorija, upotrijebite Active Directory za upravljanje skupinom za probu, |
Testiranje implementacije hibridne zaštite podataka
Prije početka
-
Postavite implementaciju hibridne zaštite podataka.
-
Aktivirajte probnu verziju i dodajte nekoliko korisnika probne verzije.
-
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka.
| 1 |
Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od pilot korisnika, a zatim izradite prostor i pozovite barem jednog pilot korisnika i jednog ne-pilot korisnika. Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici pilota stvaraju više nije dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta. |
| 2 |
Šaljite poruke u novi prostor. |
| 3 |
Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka. |
Praćenje stanja hibridne zaštite podataka
| 1 |
U opciji Control Hub na izborniku na lijevoj strani zaslona odaberite Usluge . |
| 2 |
U odjeljku Hibridne usluge pronađite Hibridnu zaštitu podataka i kliknite na Postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
|
| 3 |
U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter. |
Dodavanje ili uklanjanje korisnika iz probne verzije
Ako uklonite korisnika iz probe, klijent korisnika tražit će ključeve i stvaranje ključeva iz KMS-a u oblaku umjesto vašeg KMS-a. Ako klijentu treba ključ koji je pohranjen na vašem KMS-u, KMS u oblaku dodat će ga u ime korisnika.
Ako vaša organizacija upotrebljava sinkronizaciju direktorija, upotrijebite Active Directory (umjesto ovog postupka) za upravljanje skupinom za probu, HdsTrialGroup. Članove skupine možete pregledati u okruženju Control Hub, ali ih ne možete dodati ni ukloniti.
| 1 |
Prijavite se u Control Hub, a zatim odaberite Usluge. |
| 2 |
U izborniku Hibridna zaštita podataka kliknite na Postavke. |
| 3 |
U odjeljku Način probe u području Status usluge kliknite na Dodaj korisnike ili kliknite na Prikaži i uredi kako biste uklonili korisnike iz probe. |
| 4 |
Unesite adresu e-pošte jednog ili više korisnika koje želite dodati ili kliknite na X pokraj ID-a korisnika kako biste ga uklonili iz probe. Zatim kliknite Spremi. |
Prijelaz s probne verzije na produkciju
| 1 |
Prijavite se u Control Hub, a zatim odaberite Usluge. |
| 2 |
U izborniku Hibridna zaštita podataka kliknite na Postavke. |
| 3 |
U odjeljku Status usluge kliknite na Premjesti na produkciju. |
| 4 |
Potvrdite da želite premjestiti sve svoje korisnike u proizvodnju. |
Završite probno razdoblje bez prelaska na produkciju
| 1 |
Prijavite se u Control Hub, a zatim odaberite Usluge. |
| 2 |
U izborniku Hibridna zaštita podataka kliknite na Postavke. |
| 3 |
U odjeljku Deaktiviraj kliknite na Deaktiviraj. |
| 4 |
Potvrdite da želite deaktivirati uslugu i završiti probu. |
Upravljajte svojom HDS implementacijom
Upravljanje HDS implementacijom
Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.
Postavljanje rasporeda nadogradnje klastera
Da biste postavili raspored nadogradnje:
| 1 |
Prijavite se u Kontrolni centar. |
| 2 |
Na stranici Pregled u odjeljku Hibridne usluge odaberite Hibridna zaštita podataka. |
| 3 |
Na stranici Resursi hibridne zaštite podataka odaberite klaster. |
| 4 |
Na ploči Pregled s desne strane u izborniku Postavke klastera odaberite naziv klastera. |
| 5 |
Na stranici Postavke, u izborniku Nadogradnja odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi. |
Promjena konfiguracije čvora
-
Promjena x.509 certifikata zbog isteka ili drugih razloga.
Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
-
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.
Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
-
Izrada nove konfiguracije za pripremu novog podatkovnog centra.
Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:
-
Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
-
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.
Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.
Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.
Prije nego što počnete
-
HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.
Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:
Opis
Varijabla
HTTP proxy bez provjere autentičnosti
GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORTHTTPS proxy bez provjere autentičnosti
GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORTHTTP proxy s provjerom autentičnosti
GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS proxy s provjerom autentičnosti
GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.
| 1 |
Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. |
| 2 |
Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. |
| 3 |
Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: |
| 4 |
Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju. |
Isključivanje blokiranog načina vanjske razlučivosti DNS-a
Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.
Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.
Prije nego što počnete
| 1 |
U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava. |
| 2 |
Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da. |
| 3 |
Idite na stranicu Spremište pouzdanosti i proxy poslužitelj. |
| 4 |
Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne. |
Što učiniti sljedeće
Ukloni čvor
| 1 |
Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo. |
| 2 |
Ukloni čvor: |
| 3 |
U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.) Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima. |
Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti
Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.
Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:
Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.
| 1 |
Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore. |
| 2 |
Nakon konfiguriranja Syslogd poslužitelja kliknite Napredne postavke |
| 3 |
Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju
|
| 4 |
Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći. |
| 5 |
Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju. |
| 6 |
U lijevom navigacijskom oknu klijenta VMware vSphere desnom tipkom miša kliknite na VM i kliknite na Uredi postavke.. |
| 7 |
Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova. |
| 8 |
Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta. |
| 9 |
Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti. Provjerite syslog izlaz kako biste provjerili da čvorovi podatkovnog centra u pripravnosti nisu u pasivnom načinu rada. "KMS konfiguriran u pasivnom načinu rada" ne smije se pojaviti u syslogu. |
Što učiniti sljedeće
(Neobavezno) Ukloni ISO nakon HDS konfiguracije
Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.
I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.
Prije početka
Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.
| 1 |
Isključite jedan od HDS čvorova. |
| 2 |
U vCenter Server uređaju odaberite HDS čvor. |
| 3 |
Odaberite i poništite odabir ISO datoteke podatkovnog centra. |
| 4 |
Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta. |
| 5 |
Ponovi za svaki HDS čvor zauzvrat. |
Rješavanje problema sigurnosti hibridnih podataka
Prikaz upozorenja i rješavanje problema
Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:
-
Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
-
Dešifriranje poruka i naziva prostora nije uspjelo za:
-
Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
-
Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
-
-
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje
Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.
Upozorenja
Ako postoji problem s postavljanjem hibridne zaštite podataka, Control Hub prikazuje upozorenja administratoru organizacije i šalje e-poštu na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.
|
Upozorenje |
Radnja |
|---|---|
|
Pristup lokalnoj bazi podataka nije uspjetio. |
Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom. |
|
Pogreška pri povezivanju lokalne baze podataka. |
Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge. |
|
Pogreška pristupa usluzi u oblaku. |
Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti. |
|
Obnova registracije usluge u oblaku. |
Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku. |
|
Prekinuta je registracija usluge u oblaku. |
Registracija za usluge u oblaku prekinuta. Usluga se isključuje. |
|
Usluga još nije aktivirana. |
Aktivirajte probnu verziju ili dovršite premještanje probne verzije u produkciju. |
|
Konfigurirana domena ne odgovara certifikatu poslužitelja. |
Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja. |
|
Provjera autentičnosti za usluge u oblaku nije uspjela. |
Provjerite točnost i mogući istek vjerodajnica računa usluge. |
|
Otvaranje datoteke lokalne tipkovnice nije uspjelo. |
Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice. |
|
Certifikat lokalnog poslužitelja nije valjan. |
Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata. |
|
Ne može se objaviti metrika. |
Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku. |
|
Direktorij /media/configdrive/hds ne postoji. |
Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira. |
Rješavanje problema sigurnosti hibridnih podataka
| 1 |
Pregledajte okruženje Control Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. |
| 2 |
Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. |
| 3 |
Obratite se Ciscovoj podršci. |
Ostale napomene
Poznati problemi za sigurnost hibridnih podataka
-
Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Control Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, vaši korisnici aplikacije Webex više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. To se odnosi i na probnu i na produkcijsku implementaciju. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
-
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat). Kada korisnik postane član probne verzije hibridne zaštite podataka, klijent korisnika nastavlja upotrebljavati postojeću ECDH vezu sve dok ne istekne. Alternativno, korisnik se može odjaviti i ponovno prijaviti u aplikaciju Webex kako bi ažurirao lokaciju koju aplikacija kontaktira za ključeve za šifriranje.
Isto se ponašanje događa kada premjestite probno razdoblje u produkciju za organizaciju. Svi korisnici koji nisu probni i s postojećim ECDH vezama s prethodnim uslugama zaštite podataka nastavit će upotrebljavati te usluge sve dok se ECDH veza ne dovrši ponovno pregovaranje (istekom vremena ili odjavljivanjem i ponovnim prijavom).
Upotrijebite OpenSSL za generiranje PKCS12 datoteke
Prije početka
-
OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
-
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
-
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
-
Izradite privatni ključ.
-
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).
| 1 |
Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao |
| 2 |
Prikažite certifikat kao tekst i provjerite pojedinosti.
|
| 3 |
Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom
|
| 4 |
Izradite .p12 datoteku s prijateljskim nazivom
|
| 5 |
Provjerite pojedinosti certifikata poslužitelja. |
Što učiniti sljedeće
Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u odjeljku Izrada ISO konfiguracije za HDS organizatore.
Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.
Promet između HDS čvorova i oblaka
Promet prikupljanja izlazne metrike
Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku o sinkroniziranim i asinkronim niti; metriku o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku o datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).
Dolazni promet
Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:
-
Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
-
Nadogradnje softvera čvora
Konfiguriranje proxyja lignji za sigurnost hibridnih podataka
Websocket se ne može povezati putem proxy poslužitelja lignji
Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavu websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za pravilan rad usluga.
Lignje 4 i 5
Dodajte on_unsupported_protocol direktivu u squid.conf:
on_unsupported_protocol tunel sveLignje 3.5.27
Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.
acl wssMercuryConnection ssl:server_name_regex živin-veza ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump korak1 sve ssl_bump gleda korak2 sve ssl_bump korak3 sve
