Vodič za implementaciju za hibridnu sigurnost podataka s više stanara (HDS)

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
25. ožujka 2026.	Ažurirana je zadana lozinka koja se koristi za prijavu na virtualni stroj čvora Hybrid Data Security.
5. prosinca 2025.	Ažurirano Izradite ISO konfiguraciju za HDS hostove s ispravnim tekstom korisničkog sučelja na stranici Sistemski zapisnici i dodana je uputa za prijenos korijenskog certifikata sysloga prilikom konfiguriranja TLS enkripcije.
21. studenog 2025.	Dodan je odjeljak Često postavljana pitanja. Dodani su odjeljci Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe i Oporavak od katastrofe pomoću rezervnog podatkovnog centra. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

O. Glavni ključevi korisnika (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO datoteci.

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

O. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK-om (glavnim ključem korisnika).

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, bit će odmah pogođene. Postojeći sadržaj u prostorima bit će dostupan dok ne istekne lokalna predmemorija. Nakon 24 sata, korisnici kojima upravlja partner prijeći će na Cloud KMS, a mogu se pojaviti problemi s prethodno kreiranim prostorima i prostorima jedan na jedan.

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

O. Osvježavanje predmemorije u oblaku može trajati maksimalno 24 sata.

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje korisničke organizacije koje ispunjavaju Cisco Webex licencne zahtjeve.

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj je dostupan samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

A. Da. Trenutačno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnera, slične CMK-ovima kupaca.

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

A. Da. Partnerske i zakupne organizacije mogu se nalaziti u različitim geografskim regijama.

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

O. Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partnerski centar. Idi na Usluge > Hibridna sigurnost podataka > Postavke . Ako je status HDS-a aktiviran, korisnici partnerske organizacije, kao i dodijeljeni klijenti, koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste potvrdili da je HDS aktiviran. Pogledajte Testiranje implementacije hibridne sigurnosti podataka.

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

A. Da. Pod man Desktop je alternativa otvorenog koda za Docker Desktop. Pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

O. Preporučujemo minimalno dva čvora, a maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

O. Vidi Zahtjevi za vanjsku povezivost.

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

O. Ne. Pro paket nije uvjet za partnerske organizacije. Za pomoć pri postavljanju Multi-Tenant HDS-a obratite se svom Cisco partneru ili voditelju računa.

P. Je li HSM podržan u Multi-Tenant HDS-u?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u X.509 zahtjevima za certifikat.

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

O. Ne. ISO je potrebno montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika u Partner Hub, provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a.

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon što se HDS aktivira u Partner Hubu.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potreban je administrator partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

***Područja odvojenosti (bez hibridne sigurnosti podataka)***

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom višenamjenskog hibridnog sustava sigurnosti podataka.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odjaviti, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Prije prebacivanja u slučaju kvara, podatkovni centar A ima aktivne HDS čvorove i primarnu PostgreSQL ili Microsoft SQL Server bazu podataka, dok B ima kopiju ISO datoteke s dodatnim konfiguracijama, virtualnim strojevima koji su registrirani u organizaciji i bazom podataka u stanju pripravnosti. Nakon prebacivanja u slučaju kvara, podatkovni centar B ima aktivne HDS čvorove i primarnu bazu podataka, dok A ima neregistrirane virtualne strojeve i kopiju ISO datoteke, a baza podataka je u stanju pripravnosti. — ***Ručno prebacivanje u rezervni podatkovni centar***

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavite rezervni podatkovni centar za oporavak od katastrofe

Slijedite korake u nastavku za konfiguriranje ISO datoteke rezervnog podatkovnog centra:

Prije početka

Rezervni podatkovni centar trebao bi odražavati produkcijsko okruženje virtualnih strojeva i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala. (Pregled ovog modela prebacivanja u slučaju kvara potražite u Rezervni podatkovni centar za oporavak od katastrofe.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće obrađivati promet. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite syslogove kako biste potvrdili da su čvorovi u pasivnom načinu rada. U syslogovima biste trebali moći vidjeti poruku „KMS konfiguriran u pasivnom načinu rada“.

Što učiniti sljedeće

Nakon što konfigurirate passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog passiveMode može pomoći u brzom procesu prebacivanja na drugi sustav tijekom oporavka od katastrofe. Detaljan postupak prebacivanja u slučaju kvara pogledajte u Oporavak od katastrofe korištenjem podatkovnog centra u stanju pripravnosti.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Dijagram koji prikazuje primjer veze između Hybrid Data Security, mreže i proxyja.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL	Microsoft SQL Server
Postgres JDBC upravljački program 42.2.5	Upravljački program SQL Server JDBC 4.6 Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

Upravljački program SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	Uobičajeni URL-ovi hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite ima li vaša partnerska organizacija omogućenu značajku Multi-Tenant HDS i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Ne nastavljajte s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je navesti naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovore/rukovanje?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514i prenijeli korijenski certifikat sysloga.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na svom računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu ] kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite čvor VM-a, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi možda trebali napraviti promjene. Pobrinite se da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve primljene od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Stvori novi klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočni prozor također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Za stvaranje dodatnih klastera prijavite se u Partner Hub i kliknite Usluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku kako biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS-a.

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije korisnika svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu Dodijeljeni korisnici. Kartica Dodijeljeni korisnici neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj korisnike.
6	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
7	Kliknite Dodaj, korisnik će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više korisnika u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce. Dodani korisnici bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite kupce kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite pored statusa čekanja upravljanja CMK-om za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodijeljeni kupci.
5	S popisa prikazanih organizacija korisnika kliknite s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Odjavi čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju `passiveMode` kako biste čvor učinili aktivnim. Čvor može obraditi promet nakon što je ovo konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite izlaz syslog-a kako biste potvrdili da čvorovi podatkovnog centra u stanju pripravnosti nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada“ ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon prebacivanja na drugi način rada, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite rezervni podatkovni centar u pasivni način rada slijedeći korake opisane u Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prime promjene konfiguracije, možete ponovno odmontirati ISO datoteku ovim postupkom.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
5	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
6	Kontaktirajte Cisco podršku.

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odregistrirajte čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijavite se u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Stvori klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	Kliknite na karticu Dodijeljeni korisnici.
10	Kliknite Dodaj korisnike.
11	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
12	Kliknite Dodaj, korisnik će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike o sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike o spremištu podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet radi ispravnog rada usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Novi i promijenjeni podaci

Ova tablica pokriva nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Implementacijskom vodiču za hibridnu zaštitu podataka s više klijenata.

Datum	Izvršene promjene
30. srpnja, 2026	Ažurirao/la je X.509 Odjeljak Zahtjevi certifikata navesti da su podržani samo RSA certifikati.
02. srpnja, 2026	Dodano Onemogući agente u oblaku.
Lipanj 23, 2026	Dodano Tumačenje HDS zapisnika i razumijevanje oznaka agenata.
Lipanj 01, 2026	Dodan odjeljak HDS API-ja razvojnog programera. Dodana je napomena u Pokreni alat za postavljanje HDS-a pomoću odjeljka Podman Desktop.
Travanj 16, 2026	Ažurirano je Zahtjevi poslužitelja baze podataka za dodavanje podrške za PostgreSQL verzije 17 i 18.
25. ožujka, 2026	Ažurirana je zadana lozinka za prijavu u VM čvor hibridne zaštite podataka.
Prosinac 05, 2025	Ažurirano Izradite ISO konfiguraciju za HDS organizatore s ispravnim tekstom korisničkog sučelja na stranici zapisnika sustava i dodane upute za prijenos korijenskog certifikata za syslog prilikom konfiguriranja TLS šifriranja.
studeni 21, 2025	Dodan odjeljak Najčešća pitanja. Dodano Postavite podatkovni centar u pripravnosti za oporavak od katastrofa i Oporavak od katastrofa pomoću odjeljaka podatkovnog centra u pripravnosti. Uklonjeno (Beta) iz naslova implementacijskog vodiča.
Svibanj 08, 2025	Dodano Premjestite postojeću HDS implementaciju partnerske organizacije s jednim klijentom u okruženju Control Hub u postavljanje HDS-a s više klijenata u odjeljku Partner Hub. Ažuriran je prikaz syslog kako bi se poboljšala čitljivost u odjeljku Testiranje implementacije hibridne zaštite podataka. Ažurirani su Zahtjevi za virtualno glavno računalo, Tijek zadatka implementacije hibridne zaštite podataka i Instalirajte HDS glavno računalo OVA kako biste dodali ESXi 8.0 podrška.
04. ožujka, 2025	Dodano Pokrenite alat za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za radnu površinu za docker i korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS organizatore i Promijenite konfiguraciju čvora s uputama za upotrebu radne površine Podman za korisnike bez licence za radnu površinu Docker.
Siječanj 30, 2025	Verzija SQL poslužitelja 2022 dodana je na popis podržanih SQL poslužitelja u Zahtjevi poslužitelja baze podataka.
Siječanj 15, 2025	Dodano Ograničenja hibridne zaštite podataka za više klijenata.
Siječanj 08, 2025	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klikom na Postavi na HDS kartici u okruženju Partner Hub važan korak u postupku instalacije.
Siječanj 07, 2025	Ažurirani su Zahtjevi za virtualno glavno računalo, Tijek zadatka implementacije hibridne zaštite podataka i Instalirajte HDS glavno računalo OVA kako biste prikazali nove zahtjeve za ESXi 7.0.
Prosinac 13, 2024	Prvo objavljeno.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadataka za deaktivaciju HDS-a s više stanara

Slijedite ove korake kako biste potpuno deaktivirali Multi-Tenant HDS.

Prije početka

Ovaj zadatak trebao bi obavljati samo Partner potpuni administrator.

1	Uklonite sve kupce iz svih vaših klastera, kao što je navedeno u Ukloni organizacije stanara...
2	Opozvati CMK-ove svih kupaca, kao što je navedeno u Opoziv CMK-a stanara uklonjenih iz HDS-a....
3	Ukloni sve čvorove iz svih vaših klastera, kao što je navedeno u Ukloni čvor...
4	Izbrišite sve svoje klastere iz Partner Hub-a pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Delete this Cluster na gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite na desnoj strani klastera i odaberite Remove Cluster.
5	Kliknite na Settings tab na stranici Pregled hibridne sigurnosti podataka i kliknite Deactivate HDS na HDS Status kartici.

Često postavljana pitanja

P. Jesu li CMK i glavni ključ pohranjeni u ISO ili bazi podataka?

O. Glavni ključevi kupaca (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem, koji je pohranjen u ISO.

P. Koristi li se jedan ključ za šifriranje svih podataka korisničkih organizacija?

O. Ne. Podaci svake organizacije kupaca šifrirani su vlastitim CMK-om (Glavni ključ kupca).

P. Što će se dogoditi ako onemogućim HDS iz Partner Hub-a?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, odmah će biti pogođene. Postojeći sadržaj u prostorima bit će dostupan sve dok lokalna predmemorija ne istekne. Nakon 24 sati korisnici kojima upravlja partner prebacuju se na Cloud KMS, a problemi mogu nastati s prethodno stvorenim prostorima i prostorima od jednog do jednog.

P. Nakon što je CMK generiran za korisničku organizaciju putem alata HDS Setup, počinju li korisnici korisničke organizacije odmah iskoristiti Multi-Tenant HDS?

O. Može postojati maksimalno kašnjenje od 24 sati za osvježavanje predmemorije u oblaku.

P. Zašto ne vidim popis klijenata kada kliknem na gumb "Dodaj klijente" u Partner Hub?

O. To obično znači da ne postoje organizacije korisnika koje se susreću s Zahtjevi za licencu Cisco Webex...

P. Kakav je učinak ako su svi HDS čvorovi isključeni ili ako problem mreže utječe na sve HDS čvorove?

O. Operacije kao što su stvaranje prostora i raspoređivanje sastanaka odmah su pogođene. Postojeći sadržaj dostupan je samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom izrade ISO-a?

O. Da. Trenutno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti, partnerske organizacije će imati ključeve specifične za partnere, slične korisničkim CMK-ovima.

P. Može li se partnerska organizacija i organizacija stanara nalaziti u različitim regijama (npr. u SAD-u i EU-u)?

O. Da. Organizacije partnera i stanara mogu se nalaziti u različitim geografskim regijama.

P. Postoji li mehanizam za vraćanje ključeva u Cloud KMS?

O. Nema mehanizma za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti Multi-Tenant HDS isključivo za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti da njihova organizacija koristi Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partner Hub. Idite na Services > Hybrid Data Security > Settings . Ako je aktiviran HDS status, korisnici partnerske organizacije kao i dodijeljeni klijenti koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste provjerili je li HDS aktiviran. Pogledajte Testirajte svoju implementaciju hibridne sigurnosti podataka...

P. Postoji li alternativa za Docker Desktop za pokretanje HDS Setup alata?

O. Da. Pod man Desktop je open-source alternativa Docker Desktop. Pogledajte Pokreni HDS alat za podešavanje pomoću Podman radne površine...

P. Koliko čvorova mogu rasporediti u Multi-Tenant HDS klasteru?

A. Preporučamo minimalno dva čvora i maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za uspostavu HDS-a s više stanara?

O. Pogledajte Zahtjevi za vanjsku povezivost...

P. Je li Pro Pack for Control Hub zahtjev za partnerske organizacije?

O. Ne. Pro Pack nije uvjet za partnerske organizacije. Obratite se svom Cisco partneru ili upravitelju računa za pomoć pri postavljanju HDS-a za više stanara.

P. Je li HSM podržan u Multi-Tenant HDS?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. HDS za više stanara zahtijeva potvrdu dobivenu od pouzdanog nadležnog tijela koje ispunjava sve zahtjeve navedene u X.509 Zahtjevi certifikata.

P. Da li montirati ISO potreban svaki put kada se novi kupac doda u Partner Hub?

O. Ne. ISO se mora montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog klijenta na Partner Hub, pobrinite se da možete stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Stvaranje korisničkih glavnih ključeva (CMK) pomoću alata HDS Setup...

P. Nakon što je Multi-Tenant HDS implementiran na Partner Hub, počinju li korisnici partnerske organizacije koristiti KMS na licu mjesta za upravljanje ključem?

O. Korisnici će početi koristiti lokalno KMS za upravljanje ključevima tek nakon aktivacije HDS-a u Partner Hubu.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka s više stanara

Od prvog dana sigurnost podataka je primarni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex App u interakciji s Key Management Service (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex App-a dobivaju šifriranje od kraja do kraja s dinamičkim ključevima pohranjenima u oblaku KMS, u sigurnosnom području Cisco-a. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Multi-Tenant Hybrid Data Security omogućuje organizacijama da koriste HDS putem pouzdanog lokalnog partnera, koji može djelovati kao pružatelj usluga i upravljati šifriranjem na lokaciji i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad raspoređivanjem i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije uspostavljaju HDS instance i po potrebi kreiraju HDS klastere. Svaka instanca može podržati više korisničkih organizacija za razliku od redovne HDS implementacije koja je ograničena na jednu organizaciju.

Dok partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Ovaj pristup je ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključem i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako Multi-Tenant Hybrid Data Security pruža suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje klijenata s kojima već imaju uspostavljeni odnos.
Opcija za lokalnu tehničku potporu, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Ovaj dokument namijenjen je pomaganju partnerskim organizacijama da uspostave i upravljaju klijentima pod Multi-Tenant Hybrid Data Security sustavom.

Ograničenja sigurnosti hibridnih podataka s više stanara

Partnerske organizacije ne smiju imati aktivnu implementaciju HDS-a u kontrolnom centru.
Najmoprimci ili organizacije kupaca kojima partner želi upravljati ne smiju imati nikakvu postojeću implementaciju HDS-a u kontrolnom centru.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija kao i korisnici partnerske organizacije počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Nema mehanizma za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; pogledajte odjeljak u nastavku za detalje.

Uloge u sigurnosti hibridnih podataka s više stanara

Full Partner Administrator - Može upravljati postavkama za sve klijente kojima partner upravlja. Također može dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti određene klijente kojima upravljaju administratori partnera.
Partner administrator - Može upravljati postavkama za korisnike koje je administrator rezervirao ili koji su dodijeljeni korisniku.
Potpuni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su promjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

End to end Multi-Tenant HDS postavljanje i upravljanje svim korisničkim organizacijama - Partner full administrator i Full administrator prava potrebna.
Upravljanje dodijeljenim organizacijama stanara - Partner administrator i Potrebna puna administratorska prava.

Arhitektura sigurnosnog područja

Arhitektura oblaka Webex razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kao što je prikazano u nastavku.

***Područja razdvajanja (bez hibridne sigurnosti podataka)***

Da bismo dodatno razumjeli Hybrid Data Security, pogledajmo prvo ovaj čisti slučaj u oblaku, gdje Cisco pruža sve funkcije u svojim oblacima. Usluga identiteta, jedino mjesto na kojem se korisnici mogu izravno povezati sa svojim osobnim podacima kao što je adresa e-pošte, logički je i fizički odvojen od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se kriptirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

U ovom dijagramu klijent je Webex aplikacija koja radi na korisničkom prijenosnom računalu, a autentificirala je s uslugom identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključem (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću AES-256 master ključa.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje na servis za indeksiranje, koji stvara šifrirane indekse za pretraživanje kako bi pomogao u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premjestite u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev na Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi na Org A validira veze s KMS-ovima u drugim organizacijama koje koriste x.509 PKI certifikati. Pogledajte Pripremite svoje okruženje za pojedinosti o generiranju x.509 certifikata za uporabu s implementacijom hibridne sigurnosti podataka s više stanara.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju Hybrid Data Security morate osigurati:

Siguran podatkovni centar u zemlji koja je podržana lokacija za Planovi timova za Cisco Webex...
Oprema, softver i pristup mreži opisani u Pripremite svoje okruženje.

Potpuni gubitak bilo konfiguracije ISO koju gradite za Hybrid Data Security ili baze podataka koju pružate rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, možete izgraditi novu implementaciju, ali samo novi sadržaj će biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i konfiguracijom ISO.
Budite spremni za brzi oporavak katastrofe ako dođe do katastrofe, kao što je kvar podatkovnog diska ili katastrofa podatkovnog centra.

Nema mehanizma za vraćanje ključeva u oblak nakon implementacije HDS-a.

Proces podešavanja na visokoj razini

Ovaj dokument obuhvaća postavljanje i upravljanje implementacijom hibridne sigurnosti podataka s više stanara:

Postavite Hybrid Data Security – To uključuje pripremu potrebne infrastrukture i instalaciju softvera Hybrid Data Security, izgradnju klastera HDS-a, dodavanje organizacija stanara klasteru i upravljanje njihovim glavnim ključevima klijenata (CMK). To će omogućiti svim korisnicima vaših korisničkih organizacija da koriste klaster za sigurnost hibridnih podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavajte implementaciju hibridne sigurnosti podataka – Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku na prvom mjestu za ovu implementaciju i angažirati podršku tvrtke Cisco po potrebi. Možete koristiti obavijesti na zaslonu i postaviti upozorenja na temelju e-pošte u Partner Hub-u.
Razumijevanje uobičajenih upozorenja, koraka za otklanjanje poteškoća i poznatih problema—Ako naiđete na poteškoće pri uvođenju ili korištenju sustava Hybrid Data Security, posljednje poglavlje ovog vodiča i dodatak Known Issues mogu vam pomoći da odredite i riješite problem.

Model implementacije hibridne sigurnosti podataka

Unutar vašeg poslovnog podatkovnog centra implementirate Hybrid Data Security kao jedan skup čvorova na zasebnim virtualnim domaćinima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web priključaka i sigurnog HTTP-a.

Tijekom procesa instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ove koje pružate. Koristite HDS Setup Tool za stvaranje prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svakom čvoru. Klaster Hybrid Data Security koristi Syslogd server i PostgreSQL ili Microsoft SQL Server bazu podataka. (Konfigurirate Syslogd i podatke o povezivanju baze podataka u HDS Setup Tool.)

Model implementacije hibridne sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor u isto vrijeme.)

Svi čvorovi u klasteru pristupaju istom ključnom datastoru i zapisniku aktivnosti na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin modu, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hub. Da biste uklonili pojedinačni čvor iz službe, možete ga deregistrirati, a kasnije ga reregistrirati ako je potrebno.

Centar za podatke o pripravnosti za oporavak od katastrofa

Tijekom implementacije uspostavljate siguran podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovnog centra, možete ručno propustiti premještanje u podatkovni centar pripravnosti.

Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode. — ***Priručnik Failover to Standby Data Center***

Baze podataka aktivnih i rezervnih podatkovnih centara sinkronizirane su jedna s drugom, što će minimizirati vrijeme potrebno za izvođenje neuspjeha.

Aktivni čvorovi za sigurnost hibridnih podataka moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavljanje podatkovnog centra u stanju pripravnosti za oporavak od katastrofa

Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovnog centra pripravnosti:

Prije početka

Centar za podatke o stanju pripravnosti trebao bi odražavati proizvodno okruženje VM-a i sigurnosnu kopiju baze podataka PostgreSQL ili Microsoft SQL Server. Na primjer, ako proizvodnja ima 3 VM-ove koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-ove. (Vidi Centar za podatke o pripravnosti za oporavak od katastrofaza pregled ovog neuspješnog modela.)
Provjerite je li sinkronizacija baze podataka omogućena između baze podataka aktivnih i pasivnih klasterskih čvorova.

1	Pokrenite HDS Setup alat i slijedite korake navedene u Stvori ISO konfiguraciju za HDS domaćine... ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite na Advanced Settings
3	Na Advanced Settings stranica, dodajte konfiguraciju ispod da biste postavili čvor u pasivnom načinu rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati prometom. `passiveMode: 'true'`
4	Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni enkripcijski ključ za sadržaj baze podataka. Ograničite pristup samo onim administratorima za sigurnost hibridnih podataka koji bi trebali napraviti promjene konfiguracije.
6	U lijevom navigacijskom oknu klijenta VMware vSphere desnom tipkom miša kliknite VM i kliknite Edit Settings..
7	Kliknite Edit Settings >CD/DVD Drive 1 i odaberite Datastore ISO datoteku. Budite sigurni Connected i Connect at power on provjereni su tako da ažurirane konfiguracijske promjene mogu stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i pobrinite se da nema alarma barem 15 nekoliko minuta.
9	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti. Provjerite slogove kako biste provjerili jesu li čvorovi u pasivnom načinu rada. Trebali biste moći vidjeti poruku “KMS konfiguriran u pasivnom načinu rada” u slogovima.

Što učiniti sljedeće

Nakon konfiguriranja passiveMode u ISO datoteku i spremanje, možete stvoriti još jednu kopiju ISO datoteke bez passiveMode konfiguriranje i spremanje na sigurno mjesto. Ova kopija ISO datoteke bez passiveMode konfiguriran može pomoći u brzom procesu neuspjeha tijekom oporavka katastrofe. Pogledajte Oporavak katastrofe pomoću Centra za podatke o stanju pripravnostiza detaljnu proceduru prevrtanja.

Proxy podrška

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i provjeriti ukupni status povezivanja nakon što postavite proxy na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – Zadana postavka ako ne koristite konfiguraciju HDS čvora Trust Store & Proxy za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxyja poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy – Uz eksplicitni proxy, HDS čvorovima kažete koji proxy poslužitelj i shema za provjeru autentičnosti koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može koristiti za pristup proxy stroju.
2. Proxy Port – Broj porta koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti – odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – Nije potrebna daljnja autentifikacija.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno—Koristi se za HTTP korisnički agent za pružanje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi osnovno64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Digest – Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Diagram showing an example connection between the Hybrid Data Security, network and a proxy.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Detalje potražite u blogu Docker: „Docker ažurira i proširuje naše pretplate na proizvode“.

Korisnici bez licence za radnu površinu Docker mogu koristiti alat za upravljanje kontejnerima otvorenog koda kao što je Podman Desktop za pokretanje, upravljanje i izradu kontejnera. Za više pojedinosti pogledajte Pokrenite alat za postavljanje HDS-a koristeći radnu površinu Podman.

X.509 Zahtjevi certifikata

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Table 1. X.509 Certificate Requirements for Hybrid Data Security Deployment
Uvjet	pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:UključenoCA-ovima.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene koje su definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpise za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS #12 zaštićena lozinkom Upotrijebite prilagođeni naziv za `kms-private-key` za označavanje certifikata, privatnog ključa i svih posrednih certifikata za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.
Podržani algoritam	Podržani su samo RSA certifikati.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (3 preporučuje) smještena u isti siguran podatkovni centar
VMware ESXi 7.0 ili 8.0 instaliran i pokrenut.

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-ova, 8 GB glavne memorije, 30 GB prostora na lokalnom tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Table 2. Database server requirements by type of database
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17, ili 18, instaliran i pokrenut.	Instaliran je SQL poslužitelj 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL poslužitelj 2016 zahtijeva servisni paket 2 i kumulativno ažuriranje 2 ili novije.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (2-TB preporučuje se ako želite dugo pokretati bazu podataka bez potrebe za povećanjem pohrane)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (2-TB preporučuje se ako želite dugo pokretati bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL	Microsoft SQL Server
Odgođen JDBC upravljački program 42.2.5	JDBC upravljački program za SQL Server 4.6 Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (Uvijek Uključen Broj Instanci Klastera u slučaju pogreške i Uvijek Uključene skupine dostupnosti).

PostgreSQL

Microsoft SQL Server

Odgođen JDBC upravljački program 42.2.5

JDBC upravljački program za SQL Server 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (Uvijek Uključen Broj Instanci Klastera u slučaju pogreške i Uvijek Uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge Webex od Mrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 u administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte Konfiguriranje proxyja lignji za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža koja sadrži HDS čvorove mora biti konfigurirana tako da prisili izlazni TCP promet na ulazu 443 za preusmjeravanje putem proxyja.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (ne inspekcija) prometa do wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite ima li za vašu organizaciju HDS omogućen u okruženju Control Hub i preuzmite vjerodajnice računa s potpunim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži certifikat X.509, privatni ključ, i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi certifikata.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (3 preporučuje) smještena u isti siguran podatkovni centar koji ispunjavaju zahtjeve u Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključna pohrana podataka za klaster, u skladu sa Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-ova koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-ova.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadano je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju za šifriranje i dešifriranje sadržaja, ako se ne održi operativna implementacija, to će rezultirati NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatera čvorova hibridne zaštite podataka očekuje se da održavaju česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te da budu spremni ponovno izgraditi podatkovni centar hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u Zahtjevi u vezi s vanjskim povezivanjem.
9	Instalirajte Docker (https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni, ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Za više informacija pogledajte Zahtjevi za radnu površinu za docker. Kako biste instalirali i pokrenuli alat za postavljanje HDS-a, lokalni stroj mora imati povezivost navedenu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite ispunjava li Zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Opcija konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0 i 8.0. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfigurirajte HDS čvor za integraciju proxyja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera i kliknite Services.
2	U odjeljku Hibridni pronađite karticu Hibridne zaštite podataka i kliknite Set up. Klikom na Postavljanje u okruženju Partner Hub ključno je za postupak implementacije. Nemojte nastaviti s instalacijom bez dovršavanja ovog koraka.
3	Kliknite Add a resource i kliknite Download .OVA file na Install and Configure Software karticu. Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti s Help sekcija. Kliknite Settings > Help > Download Hybrid Data Security software. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije početka

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako nemate licencu za radnu površinu Docker, možete koristiti Podman radnu površinu za pokretanje alata za postavljanje HDS-a za korake 1 do 5 u postupku u nastavku. Za više pojedinosti pogledajte Pokrenite alat za postavljanje HDS-a koristeći radnu površinu Podman.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kada je spremnik u radu, vidite "Slušanje ekspresnog poslužitelja na ulazu 8080".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru, http://127.0.0.1:8080, i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora u Čvorištu partnera i zatim kliknite Log in kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Get Started.

9

Na ISO Import stranica, imate ove opcije:

No—Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Yes—Ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u stavci X.509 Zahtjevi certifikata.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite Continue.
Ako je vaš certifikat u redu, kliknite Continue.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite No za Continue using HDS certificate chain and private key from previous ISO?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Continue.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberi svoj Database Type (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(Microsoft SQL Server) Odaberite Authentication Type:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u Username polje.
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u Username polje.
Unesite adresu poslužitelja baze podataka u obrascu <hostname>:<port> ili <IP-address>:<port>.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako upotrebljavate provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Database Name.
Unesite Username i Password korisnika sa svim privilegijama u bazi podataka za pohranu ključeva.

12

Odaberite TLS Database Connection Mode:

Način rada	Opis
Prefer TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Require TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Require TLS and verify certificate signer	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Database root certificate. Ako se ne podudaraju, čvor prekida vezu. Koristite Database root certificate upravljajte ispod padajućeg izbornika za prijenos korijenskog certifikata za ovu opciju.
Require TLS and verify certificate signer and hostname	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Database root certificate. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u Database host and port polje. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite Database root certificate upravljajte ispod padajućeg izbornika za prijenos korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi mogu uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 naznačuje prijavu na syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako na poslužitelju postavite upotrebu TLS šifriranja, provjerite Is your server configured for TLS negotiation/handshake?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao što je tcp://10.92.43.23:514, i prenesite korijenski certifikat syslog.
Iz tzv. Choose syslog record termination padajući izbornik, odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null byte -- \x00
- Newline -- \n—Odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite Continue.

14

(Neobavezno) Možete promijeniti zadanu vrijednost za neke parametre veze baze podataka u Advanced Settings. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Continue na Reset Service Accounts Password ekran.

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite Download ISO File. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Za isključenje alata Setup, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberi File > Deploy OVF Template.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i zatim kliknite Next.
4	Na Select a name and folder stranica, unesite Virtual machine name za čvor (na primjer, "HDS_Node_1") odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računalnog čvora, a zatim kliknite Next.
5	Na Select a compute resource stranicu, odaberite odredišni računski resurs, a zatim kliknite Next. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite Next.
7	Ako ste zatražili da odaberete konfiguraciju resursa u Configuration stranica, kliknite 4 CPU i zatim kliknite Next.
8	Na Select storage stranica, kliknite Next da biste prihvatili zadani format diska i pravila za VM pohranu.
9	Na Select networks stranica, odaberite opciju mreže s popisa unosa kako biste omogućili željenu povezivost na VM.
10	Na Customize template stranicu, konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala – unesite FQDN (naziv glavnog računala i domena) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znakova. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska – Unesite adresu maske podmreže točkastom decimalnom oznakom. Na primjer, 255.255.255.0. Pristupnik – Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji – unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji – Unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavite VM hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Opcija konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0 i 8.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite na VM čvor, a zatim odaberite Power > Power On. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite Console . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte OVA organizatora HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite Edit Configuration opcija.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu hardvera kartice Konfiguracija kliknite Storage.
Na popisu Podatkovne trgovine desnom tipkom miša kliknite na datastore za svoje virtualne brojeve i kliknite Browse Datastore.
Kliknite ikonu Prenesi datoteke i zatim Upload File.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite Open.
Kliknite Yes da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere desnom tipkom miša kliknite na VM i kliknite Edit Settings.
Kliknite OK da biste prihvatili upozorenje o ograničenim opcijama uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montaže s ISO datoteke podatkovnog centra i prijeđite na lokaciju na koju ste prenijeli ISO datoteku za konfiguraciju.
Provjera Connected i Connect at power on.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO datoteku nakon HDS konfiguracije.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, ovim postupkom odredite vrstu proxy poslužitelja koji želite integrirati s hibridnom zaštitom podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije početka

Pogledajte Podrška za proxy za pregled podržanih opcija za proxy.
Zahtjevi za proxy poslužitelj

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web-pregledniku unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Sign In.
2	Idite na Trust Store & Proxy, a zatim odaberite opciju: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne nadzire – Čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja. Nisu potrebne promjene konfiguracije HTTPS-a na implementaciji hibridne zaštite podataka, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy – Pomoću eksplicitnog proxy poslužitelja klijentu kažete (HDS čvorovi) koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa putem koje se može pristupiti proxy uređaju. Proxy ulaz – Broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol – odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti – Odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno – koristi se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi kodiranje baze64. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak – koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Upload a Root Certificate or End Entity Certificate, a zatim idite do odabira korijenskog certifikata za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu chevron pokraj naziva izdavača certifikata za više pojedinosti ili kliknite Delete ako ste pogriješili i želite ponovno prenijeti datoteku.
4	Kliknite Check Proxy Connection za testiranje mrežne veze između čvora i proxyja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake i zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon prolaska testa veze, za eksplicitni proxy postavljen samo na https, uključite prekidač na Route all port 443/444 https requests from this node through the explicit proxy. Za primjenu ove postavke potrebno je 15 s.
6	Kliknite Install All Certificates Into the Trust Store (pojavljuje se za eksplicitni proxy HTTPS ili prozirni proxy za provjeru) ili Reboot (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Install ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon što se čvor ponovno pokrene, po potrebi se ponovno prijavite i otvorite Overview kako biste provjerili provjere povezivosti kako biste bili sigurni da su sve u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Taj zadatak preuzima generički čvor koji ste stvorili u Postavite VM hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku 60 min ili ga morate ponovno pokrenuti.
Provjerite jesu li svi skočni blokatori u vašem pregledniku onemogućeni ili dopuštate iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Services.
3	U odjeljku Hibridni pronađite karticu Hibridne zaštite podataka i kliknite Set up.
4	Na stranici koja se otvara kliknite Add a resource.
5	U prvom polju Create a new cluster kartica, unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Add na dnu zaslona. Ta IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste koristili u Postavite VM za hibridnu zaštitu podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite Go to Node. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Provjerite Allow Access to Your Hybrid Data Security Node potvrdni okvir i zatim kliknite Continue. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na Hybrid Data Security stranica, novi klaster koji sadrži čvor koji ste registrirali prikazuje se ispod Resources . Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvorova.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku 60 min ili ga morate ponovno pokrenuti.
Provjerite jesu li svi skočni blokatori u vašem pregledniku onemogućeni ili dopuštate iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e koji ponavlja korake u Instalirajte OVA-u organizatora HDS.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prenesite i postavite HDS konfiguraciju ISO.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.com odaberite Services iz izbornika na lijevoj strani zaslona. U odjeljku Hibridni pronađite karticu Hibridne zaštite podataka i kliknite View all. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se u Resources stranica. Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite Add a node na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite Add. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Provjerite Allow Access to Your Hybrid Data Security Node potvrdni okvir i zatim kliknite Continue. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Node added Skočna poruka pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Što učiniti sljedeće

Za izradu dodatnih klastera prijavite se u Čvorište partnera i kliknite Services > Hybrid Data Security > View all > Add a cluster. Slijedite korake opisane u prethodnom odjeljku kako biste dodali prvi čvor u dodatni klaster ili klastere.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte Multi-Tenant HDS na Partner Hub

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi koristiti HDS za On-Premises ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Pobrinite se da ste završili postavljanje klastera za više stanara HDS s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com...
2	Iz izbornika s lijeve strane zaslona odaberite Services.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Edit Settings.
4	Kliknite Activate HDS na HDS Status kartica.

Dodajte organizacije stanara u Partner Hub

U ovom zadatku dodjeljujete korisničke organizacije svom klasteru za sigurnost hibridnih podataka.

1	Prijavite se na https://admin.webex.com...
2	Iz izbornika s lijeve strane zaslona odaberite Services.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite View all.
4	Idite na stranicu Assigned customers . Datoteka Assigned customers kartica neće biti prikazana dok ne stvorite klaster.
5	Kliknite Add customers.
6	Odaberite klijenta koji želite dodati iz padajućeg izbornika.
7	Kliknite Add, kupac će biti dodan u klaster.
8	Ponovite korake 5 kako 7 biste dodali više kupaca u svoj klaster.
9	Kliknite Done na dnu ekrana nakon što ste dodali kupce. Dodani klijenti bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite HDS Setup alat kao što je opisano u Stvaranje korisničkih glavnih ključeva (CMK) pomoću alata HDS Setupza dovršetak procesa postavljanja.

Stvaranje korisničkih glavnih ključeva (CMK) pomoću alata HDS Setup

Prije početka

Dodijelite klijente kao što je detaljno u Dodajte organizacije stanara u Partner Hub... Pokrenite HDS Setup alat kako biste dovršili proces postavljanja za novododane korisničke organizacije.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima za vašu organizaciju.

Ako HDS Setup alat radi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, port, vjerodajnice) kroz Docker varijable okoline prilikom podizanja Docker spremnika u koraku 5... Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke kad god napravite konfiguracijske promjene, poput ovih:
- Vjerodajnice baze podataka
- Ažuriraj certifikat
- Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postavite PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je kontejner pokrenut, vidjet ćete "Express server sluša na portu8080."
6	Alat za postavljanje ne podržava povezivanje s lokacijskim hostingom kroz http: // localhost:8080... Koristi http://127...0...0...1:8080za povezivanje s localhost. Koristite web preglednik da biste otišli na lokalhost, `http://127.0.0.1:8080`, i unesite admin korisničko ime za Partner Hub na upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada je to zatraženo, unesite vjerodajnice administratora za prijavu u Partner Hub, a zatim kliknite Log in kako bi se omogućio pristup potrebnim uslugama za zaštitu hibridnih podataka.
8	Na stranici pregleda alata za postavljanje kliknite Get Started.
9	Na ISO Import stranica, kliknite Yes.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezanost s vašom bazom podataka za obavljanje CMK upravljanja.
11	Idite na stranicu Tenant CMK Management tab, gdje ćete naći sljedeća tri načina za upravljanje Tenant CMKs. Create CMK for all ORGs ili Create CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste stvorili CMK za sve novododane organizacije. Kliknite Manage CMKs gumb na desnoj strani zaslona i kliknite Create CMKs stvoriti CMK za sve novododane organizacije. Kliknite u blizini CMK menadžmenta koji je u tijeku za određenu organizaciju u tablici i kliknite Create CMK stvoriti CMK za tu organizaciju.
12	Nakon uspješnog stvaranja CMK-a, status u tablici će se promijeniti iz CMK upravljanja u tijeku u CMK managed.
13	Ako stvaranje CMK-a nije uspjelo, bit će prikazana pogreška.

Ukloni organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com...
2	Iz izbornika s lijeve strane zaslona odaberite Services.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite View all.
4	Na stranici koja se otvara kliknite na Assigned Customers .
5	S popisa organizacija korisnika koje su prikazane kliknite na desnoj strani organizacije korisnika koju želite ukloniti i kliknite Remove from cluster.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-a korisničkih organizacija kao što je opisano u Opoziv CMK-a stanara uklonjenih iz HDS-a.

Opoziv CMK-a stanara uklonjenih iz HDS-a.

Prije početka

Uklonite kupce kao što je detaljno u Ukloni organizacije stanara... Pokrenite HDS Setup alat kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Proces postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima za vašu organizaciju.

Ako HDS Setup alat radi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, port, vjerodajnice) kroz Docker varijable okoline prilikom podizanja Docker spremnika u koraku 5... Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke kad god napravite konfiguracijske promjene, poput ovih:
- Vjerodajnice baze podataka
- Ažuriraj certifikat
- Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postavite PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je kontejner pokrenut, vidjet ćete "Express server sluša na portu8080."
6	Alat za postavljanje ne podržava povezivanje s lokacijskim hostingom kroz http: // localhost:8080... Koristi http://127...0...0...1:8080za povezivanje s localhost. Koristite web preglednik da biste otišli na lokalhost, `http://127.0.0.1:8080`, i unesite admin korisničko ime za Partner Hub na upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada je to zatraženo, unesite vjerodajnice administratora za prijavu u Partner Hub, a zatim kliknite Log in kako bi se omogućio pristup potrebnim uslugama za zaštitu hibridnih podataka.
8	Na stranici pregleda alata za postavljanje kliknite Get Started.
9	Na ISO Import stranica, kliknite Yes.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na stranicu Tenant CMK Management tab, gdje ćete naći sljedeća tri načina za upravljanje Tenant CMKs. Revoke CMK for all ORGs ili Revoke CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za opoziv CMK-a svih organizacija koje su uklonjene. Kliknite Manage CMKs gumb na desnoj strani zaslona i kliknite Revoke CMKs opozvati CMK-ove svih organizacija koje su uklonjene. Kliknite u blizini CMK da biste opozvali status određene organizacije u tablici i kliknite Revoke CMK opozvati CMK za tu određenu organizaciju.
12	Nakon što CMK opoziv bude uspješan, organizacija korisnika više se neće pojaviti u tablici.
13	Ako opoziv CMK-a nije uspio, bit će prikazana pogreška.

Testiranje implementacije hibridne zaštite podataka

Testirajte svoju implementaciju hibridne sigurnosti podataka

Koristite ovaj postupak za testiranje scenarija šifriranja Multi-Tenant Hybrid Data Security.

Prije početka

Postavite svoj Multi-Tenant Hybrid Data Security implementaciju.
Pobrinite se da imate pristup syslogu kako biste provjerili prenose li ključni zahtjevi na vašu implementaciju hibridne sigurnosti podataka s više stanara.

1

Ključeve za određeni prostor postavlja stvoritelj prostora. Prijavite se na Webex aplikaciju kao jedan od korisnika organizacije korisnika, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koji korisnici stvaraju više nije dostupan nakon što se zamijene kopije ključeva za kriptiranje koje su spremljene od klijenta.

2

Pošalji poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste provjerili prenose li ključni zahtjevi na implementaciju hibridne sigurnosti podataka.

Ako korisnik novododane organizacije korisnika izvrši bilo koju radnju, u zapisnicima će se pojaviti Org ID organizacije, a to se može koristiti za provjeru da organizacija koristi Multi-Tenant HDS. Provjeri vrijednost kms.data.orgId u sinagogama.

Da biste provjerili je li korisnik prvi put uspostavio siguran kanal na KMS, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION :

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili korisnika koji traži postojeći ključ od KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY :

Trebali biste pronaći unos kao što su:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION :

Trebali biste pronaći unos kao što su:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili korisnika koji traži stvaranje novog objekta KMS resursa (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION :

Trebali biste pronaći unos kao što su:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Interpretacija dnevnika HDS-a i razumijevanje agenata

Zapisnici HDS-a pružaju detaljne informacije o zahtjevima KMS-a. Ti zapisi uključuju različita polja koja pomažu u utvrđivanju prirode zahtjeva i povezanog identiteta. Razumijevanje tih područja ključno je za ispravno tumačenje aktivnosti i pouzdanih internih operacija.

Nazivlje

Kako bi se osigurala jasnoća prilikom pregleda dnevnika HDS-a, važno je razumjeti sljedeće pojmove:

Termin	Definicija
Servisni račun	Servisni identitet koji omogućuje Webex servisima da sigurno obavljaju ovlaštene radnje.
Agent	Uslužni subjekt ili identitet uslužnog računa koji se koristi za obavljanje automatiziranih operacija unutar HDS okruženja.
Oznaka agenta	Oznaka uključena u zapise HDS-a koja identificira specifičan izvor i vrstu ulaznog zahtjeva, čime se omogućuje učinkovita revizija kontrole pristupa.
Delegirani pristup	Ovlašteni servisni račun koji podnosi zahtjev za određenog korisnika, unutar dopuštenja tog korisnika. Pojavljuje se kao zahtjev za delegiranje: `agent -> userid`.

Pojam "Agent" u ovom kontekstu posebno se odnosi na HDS servisne identitete. Oni nisu povezani s AI-powered agentima koji se koriste u drugim Webex značajkama.

Zahtjev se podnosi samo ako potječe od:

autentificiranog korisnika u vašoj organizaciji, ili
servisni račun koji prebiva u vašoj organizaciji i koji je ovlašten.

Pregled polja dnevnika

Polje	Što predstavlja
Vremenska oznaka	Datum i vrijeme operacije.
kms.data.method	Obavljena operacija KMS-a (npr. dohvat).
kms.data.orgld	Identifikator organizacije.
kms. data. httpUserAgent	Klijent ili usluga koji podnosi zahtjev.
WEBEX_TRACKINGID	Jedinstveni identifikator za praćenje zahtjeva.
kms.data.uriHost / kms.data.uri	Domaćin i resurs na koji se odnosi zahtjev.
kms.data.userld	Identitet koji ispunjava zahtjev, uključujući oznaku agenta.
kms.response.success	Navodi da li je zahtjev uspio.

Vrste zahtjeva - Brza referenca

Oznaka u dnevniku	Oznaka agenta	Što predstavlja	Tipične operacije
Vrsta korisnika: userAgent	Korisnički agent	Pouzdani servisni račun vezan uz tijek rada korisnika, prebačen na vašu organizaciju.	Stvaranje/upravljanje ključevima za korisnički proces.
o-agent <id> -> userid <id>	Org Agent	Pouzdani servisni račun na razini organizacije koji koristi delegirani pristup.	Izvlačenje Webex podataka, integracije kalendara.
c-agent <id> -> userid <id>	Oblak Agent	Webex usluga koja izvršava delegirani zahtjev za određenog korisnika.	Skeniranje virusa, pregled sadržaja, transkripti.
c-agent <id>	Oblak Agent	Webex usluga koja izvršava delegirani zahtjev.	ECDHE / sesijske tipke.
UUID krajnjeg korisnika	-	Autentificirani krajnji korisnik u interakciji s HDS-om.	Korisnik koji dohvaća vlastiti ključ.

Vrste zahtjeva - Detaljno

Oznake agenta kategoriziraju izvor zahtjeva i pomažu u određivanju odgovarajućih kontrola pristupa. Sljedeći primjeri pokazuju više vrsta zahtjeva i s njima povezane oznake agenta.

Korisnički agent (userAgent):

To su pouzdani Webex servisni računi povezani s određenim tijekovima rada korisnika i prebačeni su na organizaciju korisnika. Obično se koriste kada usluga stvara i upravlja ključevima u ime radnog tijeka korisnika.

Dnevnik uzoraka:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Uzorak log prikazuje korisničkog agenta (userAgent) obavljanje operacija prikupljanja resursa za Webex uslugu.
Org Agent (o-agent):

Ovi pouzdani Webex servisni računi ovlašteni su za obavljanje delegiranih operacija u ime korisnika unutar HDS-a. Prebačeni na organizaciju korisnika, ovi računi izvršavaju operacije na razini organizacije. Ova funkcija podržava nekoliko značajki, kao što su omogućavanje službenicima za usklađenost da pretražuju i izvlače Webex komunikacijske podatke - osiguravajući organizacijsku usklađenost s regulatornim standardima, sigurnosnim standardima i standardima zaštite podataka.

Dnevnik uzoraka:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Dnevnik uzoraka pokazuje agenta organizacije (o-agent 9[~]c) dohvaćanje ključa u ime korisnika (4[~]b) za Webex uslugu.
Agent u oblaku (c-agent):
Ovi pouzdani Webex servisni računi ovlašteni su za obavljanje operacija na HDS-u putem delegiranog pristupa u ime korisnika. Oni podržavaju ključne značajke - kao što su snimke nakon sastanka, transkripti, skeniranje protiv zlonamjernog softvera i pregledi datoteka koji poboljšavaju cjelokupno korisničko iskustvo.

Iako se Cloud Agents može onemogućiti izmjenom ISO-a, korisnici bi trebali biti svjesni da će to rezultirati gubitkom funkcionalnosti, kao što su snimke nakon sastanka, transkripti, pregledi datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spaces. Za više informacija vidjeti Onemogući agente u oblakuodjeljak.

Dnevnik uzoraka:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Uzorak log prikazuje agenta u oblaku (c-agent b[~]c) dohvaćanje ključa sadržaja u ime korisnika (9[~]c).

Izravna interakcija krajnjeg korisnika:

Autentificirani korisnik izravno komunicira s HDS-om.

Dnevnik uzoraka:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ključni pokazatelj: Uzorak log prikazuje krajnjeg korisnika (c[~]f) dohvaćanje ključa i izravno komuniciranje s HDS-om.

Monitor Hibridni podaci Sigurnost Zdravlje

Indikator statusa unutar Partner Hub-a pokazuje vam je li sve u redu s implementacijom sustava Multi-Tenant Hybrid Data Security. Za proaktivno upozorenje, prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U Partner Hub, odaberite Services iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Edit Settings. Pojavljuje se stranica Postavke sigurnosti hibridnih podataka.
3	U odjeljku Obavijesti o e-pošti upišite jednu ili više adresa e-pošte odvojenih zarezom i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Koristite ovdje opisane zadatke za upravljanje implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za Hybrid Data Security obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek rade istu softversku verziju. Nadogradnje se izvode prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručno nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily United States: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u Partner Hub.
2	Iz izbornika s lijeve strane zaslona odaberite Services.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Set up
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na Cluster Settings .
6	Na stranici Postavke klastera u odjeljku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom Postpone by 24 hours.

Promijeni konfiguraciju čvora

Povremeno ćete možda morati promijeniti konfiguraciju vašeg čvora za zaštitu hibridnih podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke servisnog računa koje imaju vijek trajanja od devet mjeseci. Nakon što alat HDS Setup generira ove zaporke, postavljate ih na svaki od svojih HDS čvorova u ISO konfiguracijskoj datoteci. Kada se približe isteku zaporke vaše organizacije, dobit ćete obavijest od Webex tima za resetiranje zaporke za vaš račun stroja. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Soft resetiranje – Stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško resetiranje – Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije početka

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Proces postavljanja zahtjeva vjerodajnice Partner Hub računa s punim administratorskim pravima partnera .

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje HDS Setup alata za korake 1.a do 1.e u postupku u nastavku. Pogledajte Pokreni HDS alat za podešavanje pomoću Podman radne površineza detalje.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, port, vjerodajnice) kroz varijable okoline Docker prilikom podizanja spremnika Docker u 1.e... Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata stvorene prije veljače22, 2018 nemate zaslone za ponovno postavljanje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je kontejner pokrenut, vidjet ćete "Express server sluša na portu8080." Upotrijebite preglednik za povezivanje s lokalnim domaćinom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokacijskim hostingom kroz http: // localhost:8080... Koristi http://127...0...0...1:8080za povezivanje s localhost. Kada je to zatraženo, unesite vjerodajnice za prijavu korisnika Partner Hub-a, a zatim kliknite Accept nastaviti. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za isključenje alata Setup, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate samo jedan HDS čvor, stvorite novi VM čvor za sigurnost hibridnih podataka i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Za detaljnije upute vidjeti Stvori i registriraj više čvorova... Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere desnom tipkom miša kliknite VM i kliknite Edit Settings. Kliknite `CD/DVD Drive 1`odaberite opciju za montiranje iz ISO datoteke i pregledajte na lokaciju na kojoj ste preuzeli novu konfiguracijsku ISO datoteku. Provjeri Connect at power on. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 za zamjenu konfiguracije na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije početka

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web pregledniku otvorite sučelje Hybrid Data Security čvor (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite vjerodajnice administratora koje ste postavili za čvor, a zatim kliknite Sign In.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, Blocked External DNS Resolution postavljen je na Yes.
3	Idite na stranicu Trust Store & Proxy stranica.
4	Kliknite Check Proxy Connection. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon što ponovno pokrenete čvor i vratite se na stranicu Pregled , Blokirana vanjska DNS rezolucija treba postaviti na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Koristite ovaj postupak za uklanjanje čvora Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se u ESXi virtualno računalo i isključite virtualni stroj.

2

Ukloni čvor:

Prijavite se u Partner Hub, a zatim odaberite Services.
Na kartici Hybrid Data Security kliknite View All za prikaz stranice Hybrid Data Security Resources.
Odaberite svoj klaster da biste prikazali njegovu Preglednu ploču.
Kliknite na čvor koji želite ukloniti.
Kliknite Deregister this node na ploči koja se pojavljuje s desne strane
Također možete deregigirati čvor tako da kliknete na desnu stranu čvora i odaberete Deregister node.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Delete.)

Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup svojim sigurnosnim podacima.

Oporavak katastrofe pomoću Centra za podatke o stanju pripravnosti

Najkritičnija usluga koju pruža vaš klaster za sigurnost hibridnih podataka je stvaranje i pohranjivanje ključeva koji se koriste za šifriranje poruka i drugih sadržaja pohranjenih u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, novi zahtjevi za kreiranje ključeva usmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio bilo kojem korisniku ovlaštenom za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja tih ključeva, nužno je da klaster ostane u funkciji i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka o sigurnosti hibridnih podataka ili konfiguracije ISO koja se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da uvođenje HDS-a u primarnom podatkovnom centru postane nedostupno, slijedite ovaj postupak kako biste ručno prešli u centar za podatke u stanju pripravnosti.

Prije početka

Koristite najnoviju ISO datoteku koja je konfigurirana protiv čvorova klastera koji je prethodno bio aktivan, da biste izvršili postupak prevrtanja naveden u nastavku.

1	Pokrenite HDS Setup alat i slijedite korake navedene u Stvori ISO konfiguraciju za HDS domaćine...
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite na Advanced Settings
3	Na Advanced Settings stranica, dodajte konfiguraciju ispod ili uklonite `passiveMode` konfiguracija za aktiviranje čvora. Čvor može upravljati prometom nakon što je konfiguriran. `passiveMode: 'false'`
4	Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni enkripcijski ključ za sadržaj baze podataka. Ograničite pristup samo onim administratorima za sigurnost hibridnih podataka koji bi trebali napraviti promjene konfiguracije.
6	U lijevom navigacijskom oknu klijenta VMware vSphere desnom tipkom miša kliknite VM i kliknite Edit Settings..
7	Kliknite Edit Settings >CD/DVD Drive 1 i odaberite Datastore ISO datoteku. Budite sigurni Connected i Connect at power on provjereni su tako da ažurirane konfiguracijske promjene mogu stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i pobrinite se da nema alarma barem 15 nekoliko minuta.
9	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti. Provjerite syslog izlaz kako biste provjerili da čvorovi podatkovnog centra u stanju mirovanja nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada” ne smije se pojaviti u slogovima.

Što učiniti sljedeće

Nakon prevrtanja, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite standby podatkovni centar u pasivnom načinu rada slijedeći korake opisane u Postavljanje podatkovnog centra u stanju pripravnosti za oporavak od katastrofa...

(Neobavezno) Demontiraj ISO nakon HDS konfiguracije

Standardna konfiguracija HDS-a radi s ISO montiranim. No, neki kupci radije ne ostavljaju ISO datoteke kontinuirano montirane. Možete demontirati ISO datoteku nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

Još uvijek koristite ISO datoteke za promjenu konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve HDS čvorove. Nakon što su svi vaši čvorovi pokupili promjene konfiguracije, možete ponovno demontirati ISO s ovim postupkom.

Prije početka

Nadogradite sve HDS čvorove na inačicu 2025.06.02.6983 ili noviju.

1	Isključite jedan od vaših HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Edit Settings > CD/DVD drive i odjavljivanje Datastore ISO File.
4	Uključite HDS čvor i osigurajte da nema alarma za najmanje 20 minute.
5	Ponovite za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Pogledaj upozorenja i otklanjanje poteškoća

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostižni ili ako klaster radi tako sporo da zahtijeva vrijeme. Ako korisnici ne mogu doći do klastera za sigurnost hibridnih podataka, oni imaju sljedeće simptome:

Ne mogu stvoriti nove prostore (nije moguće stvoriti nove ključeve)
Ne mogu dekriptirati poruke i naslove prostora za:
- Novi korisnici dodani u prostor (ne mogu dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novi klijent (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru će nastaviti uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite klaster za zaštitu hibridnih podataka i odmah se obratite svim upozorenjima kako biste izbjegli prekide usluge.

Upozorenja

Ako postoji problem s konfiguracijom Hybrid Data Security, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poštu na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Table 1. Common Issues and the Steps to Resolve Them
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške u bazi podataka ili problemi lokalne mreže.
Neuspjelo povezivanje lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan, a u konfiguraciji čvorova korištene su ispravne vjerodajnice računa servisa.
Neuspjeh pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kao što je navedeno u Zahtjevi za vanjsku povezivost...
Obnavljanje registracije servisa u oblaku.	Prijava na usluge u oblaku je odbijena. Produljenje registracije je u tijeku.
Registracija usluge u oblaku je pala.	Registracija na usluge u oblaku je prekinuta. Usluga se isključuje.
Servis još nije aktiviran.	Aktivirajte HDS u Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite da potvrda poslužitelja odgovara konfiguriranoj domeni aktivacije usluge. Najvjerojatniji razlog je da je certifikat CN nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Neuspjela prijava za usluge u oblaku.	Provjerite točnost i mogući istek vjerodajnica računa usluga.
Nisam mogao otvoriti datoteku lokalne tipkovnice.	Provjerite integritet i točnost lozinke na lokalnoj tipkovnici.
Potvrda lokalnog poslužitelja je neispravna.	Provjerite datum isteka potvrde poslužitelja i potvrdite da ga je izdalo pouzdani autoritet certifikata.
Ne mogu poslati metriku.	Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju ISO mount na virtualnom računalu. Provjerite da li ISO datoteka postoji, da li je konfigurirana za montiranje prilikom ponovnog pokretanja i da li se uspješno montira.
Postavka Tenant Org nije završena za dodane orgs	Kompletno postavljanje stvaranjem CMK-a za novododane organizacije stanara pomoću HDS Setup Tool-a.
Podešavanje Tenant Org nije završeno za uklonjene orgulje	Kompletno postavljanje ukidanjem CMK-a organizacija stanara koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Koristite sljedeće opće smjernice prilikom rješavanja problema s hibridnom sigurnošću podataka.

1	Prijavite se u Partner Hub.
2	Iz izbornika s lijeve strane zaslona odaberite Services.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Events.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i popravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku u nastavku.
5	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije Hybrid Data Security. Filtrirajte riječi kao što su "Upozorenje" i "Greška" kako biste pomogli u rješavanju problema.
6	Kontakt Podrška za Cisco...

HDS API za razvijatelje

HDS Developer API su način za dohvaćanje analitičkih podataka i praćenja, kao i za rješavanje problema vaših HDS implementacija putem Webex Developer Portala. API-ji su dostupni na https://developer.webex.com/messaging/docs/api/v1HDS...

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hub-u ili isključivanjem svih čvorova), izgubite konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka tipkovnica, korisnici Webex App korisničkih organizacija više ne mogu koristiti prostore pod svojim popisom Ljudi koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo rješenje ili rješenje za ovaj problem i pozivamo vas da ne zatvorite svoje HDS usluge nakon što se bave aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu na vremenski period (vjerojatno jedan sat).

Pokreni HDS alat za podešavanje pomoću Podman radne površine

Podman je besplatan i open-source alat za upravljanje kontejnerima koji pruža način za pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop može se preuzeti s https://podman-desktop.io/downloads...

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom stroju. Proces postavljanja zahtijeva vjerodajnice Control Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako HDS Setup alat radi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, port, vjerodajnice) kroz Docker varijable okoline prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke kad god napravite konfiguracijske promjene, poput ovih:
- Vjerodajnice baze podataka
- Ažuriraj certifikat
- Promjene u politici autorizacije
Ako planirate šifrirati veze baze podataka, postavite PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Stvori ISO konfiguraciju za HDS domaćineili Promijeni konfiguraciju čvorastvoriti ili promijeniti ISO konfiguraciju.

Onemogući agente u oblaku

Cloud Agents (c-agent) su pouzdani Webex servisni računi koji obavljaju operacije na HDS-u putem delegiranog pristupa u ime korisnika kako bi se poboljšalo cjelokupno korisničko iskustvo. Onemogućavanje Cloud Agents blokira Webex usluge od pristupa HDS ključevima na licu mjesta.

Onemogućavanje agenata u oblaku uzrokovat će gubitak značajki kao što su snimke nakon sastanka, transkripti, pregledi datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spaces.

Slijedite korake u nastavku kako biste onemogućili sredstva u oblaku za implementaciju HDS-a.

1	Pokrenite HDS Setup alat i slijedite korake navedene u Stvori ISO konfiguraciju za HDS domaćine... ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite na Advanced Settings.
3	Na Advanced Settings stranica, dodajte konfiguraciju u nastavku za onemogućavanje agenata u oblaku. Time će se osigurati da agenti u oblaku ne smiju rukovati HDS prometom. `cloudAgentUpdateEnabled: 'false'`
4	Dovršite proces konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni enkripcijski ključ za sadržaj baze podataka. Ograničite pristup samo onim administratorima za sigurnost hibridnih podataka koji bi trebali napraviti promjene konfiguracije.
6	U lijevom navigacijskom oknu klijenta VMware vSphere desnom tipkom miša kliknite VM i kliknite Edit Settings..
7	Kliknite Edit Settings >CD/DVD Drive 1 i odaberite Datastore ISO datoteku. Budite sigurni Connected i Connect at power on provjereni su tako da ažurirane konfiguracijske promjene mogu stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i pobrinite se da nema alarma barem 15 nekoliko minuta.
9	Ponovite postupak za svaki čvor u implementaciji HDS-a. Provjerite jesu li Cloud Agents onemogućeni provjeravanjem syslogova za sljedeći unos: 'Ažuriranje agenta u oblaku onemogućeno'.

Premjesti postojeće postavljanje HDS-a za jednog stanara partnerske organizacije u kontrolnom centru na postavljanje HDS-a za više stanara u partnerskom centru

Pretvorba iz postojećeg HDS-a s jednim stanarinom partnerske organizacije koja upravlja u Control Hub-u s više stanarskih HDS-a koji upravlja u Partner Hub-u prije svega uključuje deaktiviranje usluge HDS-a u Control Hub-u, odjavljivanje čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati klijente u svoj klaster.

Pojam "jedan stanar" jednostavno se odnosi na postojeće uvođenje HDS-a u kontrolnom čvorištu.

Deaktivirajte HDS, odspojite čvorove i izbrišite sve klastere u kontrolnom centru

1	Prijavite se u Kontrolni centar. Na lijevom oknu kliknite Hybrid. Na kartici Hybrid Data Security kliknite Edit Settings.
2	Na stranici s postavkama pomaknite se prema dolje na odjeljak Deaktiviraj i kliknite Deactivate.
3	Nakon deaktiviranja kliknite na Resources .
4	Datoteka Resources stranica popisuje klastere u implementaciji HDS-a. Kliknite na klaster, otvara se stranica sa svim čvorovima ispod tog klastera.
5	Kliknite na desno i kliknite Deregister node. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaš raspored ima više klastera, ponovite korak 4 i korak 5 dok svi čvorovi ne budu deregirani.
7	Kliknite Cluster Settings > Remove.
8	Kliknite Confirm Removal Preusmjeriti klaster.
9	Ponovite postupak za sve klastere u implementaciji HDS-a. Nakon deaktivacije HDS-a, deregistracije čvorova i uklanjanja klastera, kartica Hybrid Data Service na kontrolnom centru imat će Setup nije dovršen prikazan na dnu.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hub-u i dodajte klijente

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost hibridnih podataka s više stanaraprimjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom premještanja u Multi-Tenant HDS.

1	Prijavite se u Partner Hub. Kliknite Services na lijevom oknu. Za konfiguriranje čvorova koristite isti ISO iz prethodnog HDS implementacije. Time će se osigurati da su poruke i sadržaj generirani od strane korisnika u prethodnom postojećem HDS-u i dalje dostupni u novom postavu za više stanara.
2	U odjeljku Hibrid pronađite karticu Hybrid Data Security i kliknite Set up.
3	Na stranici koja se otvara kliknite Add a resource.
4	U prvom polju Create a cluster kartica, unesite ime za klaster kojem želite dodijeliti svoj Hybrid Data Security čvor. Preporučujemo da imenujete klaster na temelju mjesta gdje su čvorovi klastera geografski smješteni. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugom polju unesite unutarnju IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Add na dnu ekrana. Ova IP adresa ili FQDN trebala bi odgovarati IP adresi ili imenu računala i domeni koju ste koristili u Postavite Hybrid Data Security VM... Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
6	Kliknite Go to Node. Nakon nekoliko trenutaka preusmjereni ste na testove povezivanja čvora za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom sigurnosnom čvoru. Tamo potvrđujete da želite dati dozvole vašoj Webex organizaciji za pristup vašem čvoru.
7	Provjerite Allow Access to Your Hybrid Data Security Node potvrdni okvir, a zatim kliknite Continue. Vaš račun je potvrđen, a poruka "Registracija završena" pokazuje da je vaš čvor sada registriran u Webex oblaku. Na Hybrid Data Security stranica, novi klaster koji sadrži čvor koji ste registrirali prikazan je ispod Resources . Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na stranicu Settings karticu i kliknite Activate na HDS Status kartici. Activated HDS poruka će se pojaviti na dnu ekrana.
9	Kliknite na Assigned customers .
10	Kliknite Add customers.
11	Odaberite klijenta koji želite dodati iz padajućeg izbornika.
12	Kliknite Add, kupac će biti dodan u klaster.
13	Ponovite korake 11 kako 13 biste dodali više kupaca u svoj klaster.
14	Kliknite Done na dnu ekrana nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite HDS Setup alat kao što je opisano u Stvaranje korisničkih glavnih ključeva (CMK) pomoću alata HDS Setupza dovršetak procesa postavljanja.

Koristi OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini da se to učini, a mi ne podupiremo niti promoviramo jedan način nad drugim.
Ako odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernice za stvaranje datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi certifikata. Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.orgza softver i dokumentaciju.
Stvori privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od vašeg autoriteta za certifikat (CA).

1	Kada primite potvrdu poslužitelja od svog CA-a, spremite je kao `hdsnode.pem`.
2	Prikaži certifikat kao tekst i provjeri detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Koristi uređivač teksta za stvaranje datoteke paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i root CA certifikate, u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Stvori .p12 datoteku s prijateljskim imenom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje potvrde poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit da biste kriptirali privatni ključ tako da je naveden u izlazu. Zatim provjerite da privatni ključ i prvi certifikat sadrže retke `friendlyName: kms-private-key`... Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za sigurnost hibridnih podataka... Koristit ćete hdsnode.p12 datoteka, i lozinku koju ste postavili za nju, u Stvori ISO konfiguraciju za HDS domaćine...

Možete ponovno koristiti ove datoteke kako biste zatražili novi certifikat kada izvorni certifikat istekne.

Promet između HDS čvorova i oblaka

Izlazna metrika prikupljanja prometa

Čvorovi Hybrid Data Security šalju određene metrike u Webex oblak. To uključuje metriku sustava za maks. hrpu, korištenu hrpu, CPU opterećenje i broj niti; metriku na sinkronim i asinkronim navojima; metriku na upozorenjima koja uključuju prag enkripcijskih veza, latenciju ili duljinu reda čekanja; metriku na datastoru; i metriku veze enkripcije. Čvorovi šalju šifrirani materijal ključa preko kanala izvan pojasa (odvojen od zahtjeva).

Dolazni promet

Čvorovi Hybrid Data Security dobivaju sljedeće vrste ulaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnja softvera čvora

Konfiguriranje Squid Proxy za Hybrid Data Security

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxije lignji koje pregledavaju HTTPS promet mogu interferirati s uspostavom web-socket (wss:) veze koje zahtijeva Hibridna sigurnost podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje za ignoriranje wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol Direktive o squid.conf:

on_unsupported_protocol tunnel all

Lignje3.5.27

Uspješno smo testirali Hybrid Data Security sa sljedećim pravilima dodanim squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
30. srpnja 2026.	Ažuriran je odjeljak Zahtjevi za X.509 certifikat kako bi se navelo da su podržani samo RSA certifikati.
2. srpnja 2026.	Dodan odjeljak Onemogući agente u oblaku.
23. lipnja 2026.	Dodan je odjeljak Tumačenje HDS zapisnika i razumijevanje oznaka agenata.
1. lipnja 2026.	Dodan je odjeljak HDS Developer API-ji. Dodana je napomena u odjeljku Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.
16. travnja 2026.	Ažurirani su zahtjevi poslužitelja baze podataka radi dodavanja podrške za PostgreSQL verzije 17 i 18.
25. ožujka 2026.	Ažurirana je zadana lozinka koja se koristi za prijavu na virtualni stroj čvora Hybrid Data Security.
5. prosinca 2025.	Ažurirano Izradite ISO konfiguraciju za HDS hostove s ispravnim tekstom korisničkog sučelja na stranici Sistemski zapisnici i dodana je uputa za prijenos korijenskog certifikata sysloga prilikom konfiguriranja TLS enkripcije.
21. studenog 2025.	Dodan je odjeljak Često postavljana pitanja. Dodani su odjeljci Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe i Oporavak od katastrofe pomoću rezervnog podatkovnog centra. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani su Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

O. Glavni ključevi korisnika (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO datoteci.

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

O. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK-om (glavnim ključem korisnika).

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, bit će odmah pogođene. Postojeći sadržaj u prostorima bit će dostupan dok ne istekne lokalna predmemorija. Nakon 24 sata, korisnici kojima upravlja partner prijeći će na Cloud KMS, a mogu se pojaviti problemi s prethodno kreiranim prostorima i prostorima jedan na jedan.

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

O. Osvježavanje predmemorije u oblaku može trajati maksimalno 24 sata.

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje korisničke organizacije koje ispunjavaju Cisco Webex licencne zahtjeve.

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj je dostupan samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

A. Da. Trenutačno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnera, slične CMK-ovima kupaca.

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

A. Da. Partnerske i zakupne organizacije mogu se nalaziti u različitim geografskim regijama.

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

O. Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partnerski centar. Idi na Usluge > Hibridna sigurnost podataka > Postavke . Ako je status HDS-a aktiviran, korisnici partnerske organizacije, kao i dodijeljeni klijenti, koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste potvrdili da je HDS aktiviran. Pogledajte Testiranje implementacije sigurnosti hibridnih podataka.

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

A. Da. Podman Desktop je alternativa otvorenog koda za Docker Desktop. Pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

O. Preporučujemo minimalno dva čvora, a maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

O. Vidi Zahtjevi za vanjsku povezivost.

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

O. Ne. Pro paket nije uvjet za partnerske organizacije. Za pomoć pri postavljanju Multi-Tenant HDS-a obratite se svom Cisco partneru ili voditelju računa.

P. Je li HSM podržan u Multi-Tenant HDS-u?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u X.509 zahtjevima za certifikat.

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

O. Ne. ISO je potrebno montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika u Partner Hub, provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a.

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon što se HDS aktivira u Partner Hubu.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potreban je administrator partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom hibridne sigurnosti podataka za više zakupaca.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odjaviti, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavite rezervni podatkovni centar za oporavak od katastrofe

Slijedite korake u nastavku za konfiguriranje ISO datoteke rezervnog podatkovnog centra:

Prije početka

Rezervni podatkovni centar trebao bi odražavati produkcijsko okruženje virtualnih strojeva i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala. (Pregled ovog modela prebacivanja u slučaju kvara potražite u Rezervni podatkovni centar za oporavak od katastrofe.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće obrađivati promet. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite syslogove kako biste potvrdili da su čvorovi u pasivnom načinu rada. U syslogovima biste trebali moći vidjeti poruku „KMS konfiguriran u pasivnom načinu rada“.

Što učiniti sljedeće

Nakon što konfigurirate passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog passiveMode može pomoći u brzom procesu prebacivanja na drugi sustav tijekom oporavka od katastrofe. Detaljan postupak prebacivanja u slučaju kvara pogledajte u Oporavak od katastrofe korištenjem podatkovnog centra u stanju pripravnosti.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.
Podržani algoritam	Podržani su samo RSA certifikati.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 ili 18, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

Upravljački program SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	URL-ovi uobičajenog hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite da vaša organizacija nema omogućen HDS u Control Hubu i nabavite vjerodajnice računa s partnerskim punim administratorskim pravima i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Ne nastavljajte s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je navesti naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovore/rukovanje?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514i prenijeli korijenski certifikat sysloga.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu ] kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi mogli trebati napraviti promjene. Pobrinite se da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve koji se primaju od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Stvori novi klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočni prozor također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Za stvaranje dodatnih klastera prijavite se u Partner Hub i kliknite Usluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku kako biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS-a.

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije korisnika svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu Dodijeljeni korisnici. Kartica Dodijeljeni korisnici neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj korisnike.
6	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
7	Kliknite Dodaj, korisnik će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više korisnika u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce. Dodani korisnici bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite kupce kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite pored statusa čekanja upravljanja CMK-om za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodijeljeni kupci.
5	S popisa prikazanih organizacija korisnika kliknite s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tumačenje HDS zapisnika i razumijevanje oznaka agenata

HDS zapisnici pružaju detaljne informacije o KMS zahtjevima. Ovi zapisnici uključuju različita polja koja pomažu u identificiranju prirode zahtjeva i povezanog identiteta. Razumijevanje ovih područja ključno je za ispravno tumačenje aktivnosti i pouzdanih internih operacija.

Nazivlje

Radi jasnoće prilikom pregledavanja HDS zapisnika, važno je razumjeti sljedeće pojmove:

Termin	Definicija
Račun usluge	Identitet usluge koji omogućuje Webex uslugama sigurno izvršavanje ovlaštenih radnji.
Agent	Identitet servisnog entiteta ili servisnog računa koji se koristi za izvođenje automatiziranih operacija unutar HDS okruženja.
Oznaka agenta	Oznaka uključena u HDS zapisnike koja identificira specifičan izvor i vrstu dolaznog zahtjeva, omogućujući učinkovitu reviziju kontrole pristupa.
Delegirani pristup	Ovlašteni servisni račun koji šalje zahtjev za određenog korisnika, unutar dopuštenja tog korisnika. Pojavljuje se kao zahtjev za delegiranje: `agent -> userid`.

Pojam "Agent" u ovom kontekstu odnosi se posebno na identitete HDS usluga. Ovo nije povezano s agentima pokretanim umjetnom inteligencijom koji se koriste u drugim Webex značajkama.

Zahtjev se uslužuje samo kada potječe od:

autentificirani korisnik u vašoj organizaciji ili
servisni račun koji se nalazi u vašoj organizaciji i koji je vaša organizacija odobrila.

Pregled polja zapisnika

Polje	Što predstavlja
Vremenska oznaka	Datum i vrijeme operacije.
kms.data.method	Izvršena KMS operacija (npr. dohvaćanje).
kms.data.orgld	Identifikator organizacije.
kms.data.httpUserAgent	Klijent ili usluga koja podnosi zahtjev.
WEBEX_ID ZA PRAĆENJE	Jedinstveni identifikator praćenja za zahtjev.
kms.data.uriHost / kms.data.uri	Host i resurs na koje se zahtjev odnosi.
kms.data.userld	Identitet koji izvršava zahtjev, uključujući oznaku agenta.
kms.odgovor.uspjeh	Označava je li zahtjev uspio.

Vrste zahtjeva - Kratki pregled

Oznaka u zapisniku	Oznaka agenta	Što predstavlja	Tipične operacije
Vrsta korisnika: userAgent	Korisnički agent	Pouzdani servisni račun povezan s korisničkim tijekom rada, ograničen na vašu organizaciju.	Creating/managing ključevi za korisnički proces.
o-agent <id> -> korisnički ID <id>	Organizacijski agent	Račun pouzdane usluge na razini organizacije koji koristi delegirani pristup.	Izdvajanje podataka iz Webexa od strane službenika za usklađenost, integracije kalendara.
c-agent <id> -> korisnički ID <id>	Agent u oblaku	Webex usluga koja izvršava delegirani zahtjev za određenog korisnika.	Skeniranje virusa, pregled sadržaja, transkripti.
c-agent <id>	Agent u oblaku	Webex usluga koja izvršava delegirani zahtjev.	ECDHE / ključevi sesije.
UUID krajnjeg korisnika	-	Autentificirani krajnji korisnik koji komunicira s HDS-om.	Korisnik koji dohvaća vlastiti ključ.

Vrste zahtjeva - Detaljno

Oznake agenata kategoriziraju izvor zahtjeva i pomažu u određivanju odgovarajućih kontrola pristupa. Sljedeći primjeri pokazuju više vrsta zahtjeva i oznake agenata povezane s njima.

Korisnički agent (korisničkiAgent):

To su pouzdani Webex servisni računi povezani s određenim korisničkim tijekovima rada i ograničeni su na organizaciju korisnika. Obično se koriste kada usluga stvara i upravlja ključevima u ime korisničkog tijeka rada.

Primjer zapisnika:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje korisničkog agenta (userAgent) koji izvodi operacije prikupljanja resursa za Webex uslugu.
Organizacijski agent (o-agent):

Ovi pouzdani Webex servisni računi ovlašteni su za izvršavanje delegiranih operacija u ime korisnika unutar HDS-a. Ograničeni na organizaciju klijenta, ovi računi izvršavaju operacije na razini organizacije. Ova funkcionalnost podržava nekoliko značajki, kao što je omogućavanje službenicima za usklađenost da pretražuju i izdvajaju podatke o komunikaciji Webexa - osiguravajući organizacijsku usklađenost s regulatornim, sigurnosnim i standardima privatnosti podataka.

Primjer zapisnika:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje organizacijskog agenta (o-agent 9[~]c) koji dohvaća ključ u ime korisnika (4[~]b) za Webex uslugu.
Agent u oblaku (c-agent):
Ovi pouzdani Webex servisni računi ovlašteni su za izvođenje operacija na HDS-u putem delegiranog pristupa u ime korisnika. Podržavaju bitne značajke - kao što su snimke nakon sastanka, transkripti, skeniranje protiv zlonamjernog softvera i pregledi datoteka koje poboljšavaju cjelokupno korisničko iskustvo.

Iako se Cloud Agents može onemogućiti izmjenom ISO datoteke, korisnici bi trebali biti svjesni da će to rezultirati gubitkom funkcionalnosti, kao što su snimke nakon sastanka, transkripti, pregledi datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spacesu. Za više informacija pogledajte odjeljak Onemogući agente u oblaku.

Primjer zapisnika:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje agenta u oblaku (c-agent b[~]c) koji dohvaća ključ sadržaja u ime korisnika (9[~]c).

Izravna interakcija krajnjeg korisnika:

Autentificirani korisnik koji izravno komunicira s HDS-om.

Primjer zapisnika:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ključni pokazatelj: Primjer zapisnika prikazuje krajnjeg korisnika (c[~]f) koji preuzima ključ i izravno komunicira s HDS-om.

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta uključuje tekst: "Koristite API računa računala za ažuriranje lozinke.") Ako lozinke još nisu istekle, alat vam daje dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Odjavi čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju `passiveMode` kako biste čvor učinili aktivnim. Čvor može obraditi promet nakon što je ovo konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite izlaz syslog-a kako biste potvrdili da čvorovi podatkovnog centra u stanju pripravnosti nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada“ ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon prebacivanja na drugi način rada, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite rezervni podatkovni centar u pasivni način rada slijedeći korake opisane u Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prime promjene konfiguracije, možete ponovno odmontirati ISO datoteku ovim postupkom.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novo dodane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
5	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije hibridne sigurnosti podataka. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
6	Kontaktirajte Cisco podršku.

HDS Developer API-ji

HDS Developer API-ji su način za dohvaćanje analitičkih i praćenih podataka, kao i za rješavanje problema s vašim HDS implementacijama putem Webex Developer Portala. API-ji su dostupni na . https://developer.webex.com/messaging/docs/api/v1/hds

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Onemogući agente u oblaku

Cloud agenti (c-agent) su pouzdani Webex servisni računi koji obavljaju operacije na HDS-u putem delegiranog pristupa u ime korisnika kako bi poboljšali cjelokupno korisničko iskustvo. Onemogućavanje Cloud Agentsa blokira Webex usluge u pristupu lokalnim HDS ključevima.

Onemogućavanje agenata u oblaku rezultirat će gubitkom značajki kao što su snimke nakon sastanka, transkripti, pregledi datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spacesu.

Slijedite korake u nastavku kako biste onemogućili agente u oblaku za implementaciju HDS-a.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke.
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste onemogućili agente u oblaku. To će osigurati da agenti u oblaku ne smiju rukovati HDS prometom. `cloudAgentUpdateEnabled: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u vašem HDS implementaciji. Provjerite jesu li Cloud agenti onemogućeni provjerom sljedećih unosa u syslogovima: 'Ažuriranje Cloud Agenta onemogućeno'.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odregistrirajte čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijavite se u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Stvori klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	Kliknite na karticu Dodijeljeni korisnici.
10	Kliknite Dodaj korisnike.
11	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
12	Kliknite Dodaj, korisnik će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike o sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike o spremištu podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet radi ispravnog rada usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u V odiču za implementaciju za hibridnu sigurnost podataka s više stan ara.

Datum	Promjene napravljene
01. listopada 2026	Dodano Migracija HDS čvorova između podržanih odjeljka hipervizora.
21. rujna 2026	Dodana podrška za Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) hipervizor u zahtjevima virtualnog hosta. Dodana podrška za Nutanix hypervisor u zahtjevima virtu alnog hosta. Dodano postavl janje i konfiguriranje HDS-a na odjeljku NFVIS. Dodano Post avljanje i konfiguriranje HDS-a na odjeljku Nutanix. Ažurirani postupci u cijelom vodiču kako bi uključili upute za implementaciju NFVIS-a i Nutanixa. Premjesti ti podatkovni centar u stanju pripravnosti za oporavak od katastrofe u odjel jku Upravljanje implementacijom HDS-a.
31. kolovoza 2026	Uklonjen je zahtjev za omogućavanje značajke više stanara iz odjeljka Zaht jevi Cisco Webex za licencu.
28. kolovoza 2026	Dodano je kritično upozorenje u Očekivanja za implementaciju hibridne sigurnosti podataka da migracija s Multi-Tenant Hybrid Data Security na Webex cloud KMS nije podržana i da će stavljanje iz pogona HDS-a rezultirati gubitkom pristupa postojećim šifriranim podacima.
30. srpnja 2026	Ažuriran je odjeljak Zahtjevi certifikata X.509 kako bi se odredilo da su podržani samo RSA certifikati.
02. srpnja 2026	Dodan odjeljak Onemogući agente u oblaku.
23. lipnja 2026	Dodan odjeljak Tum ačenje HDS zapisnika i razumijevanje oznaka agenta.
01. lipnja 2026	Dodan odjeljak HDS API-ja za program ere. Dodana je bilješka Pok reni alat za postavljanje HDS pomoću odjeljka Podman Desktop.
16. travnja 2026	Ažurirani zahtjevi poslužitelja baze podataka za dodavanje podrške za PostgreSQL verzije 17 i 18.
25. ožujka 2026	Ažurirana je zadana lozinka koja se koristi za prijavu na VM čvor Hybrid Data Security.
05 prosinca 2025	Až urirano Stvorite konfiguracijski ISO za HDS host ove s ispravnim tekstom korisničkog sučelja na stranici System Logs i dodate uputu za prijenos syslog korijenskog certifikata prilikom konfiguriranja TLS enkripcije.
Novembar 21, 2025	Dodan odjeljak Često postavljana pitanja. Dodano Postavite podatkovni centar u stanju pripravnosti za oporavak od katastrofe i opor avak od katastrofe pomoću odjeljaka Data Center u stanju pripravnosti. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
08 svibnja 2025	Dodano Premjestite postojeću instalaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više stanara u odjeljku Partner Hub. Ažuriran je izlaz syslog radi poboljšanja čitljivosti u odjeljku Test Your Hybrid Data Security Implementation. Až urirani zahtjevi virtualnog ho sta, tijek zadataka implementacije hibridne sigurnosti podataka i instalirajte HDS Host OVA za dodavanje podrške za ESXi 8.0.
Ožujak 04, 2025	Dodan alat Run HDS Setup pomoću odjeljka Podman Desktop. Dodana je bilješka u Docker Desktop Require ments pružajući korisnicima alternativnu opciju otvorenog koda. A žurirano Stvorite konfiguracijski ISO za HDS hostove i promijenite konfiguraciju čvora s uputama za korištenje Podman Desktop za korisnike bez licence Docker Desktop.
30. siječnja 2025	Dodana je verzija SQL poslužitelja 2022 na popis podržanih SQL poslužitelja u zahtjevima poslužitelja baze podataka.
15. siječnja 2025	Dodana ograničenja sigurnosti hibridnih podataka s više stanara.
08. siječnja 2025	Dodana je bilješka u Izvr šite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik Postavi na HDS kartici u Partner Hubu važan korak postupka instalacije.
07. siječnja 2025	Až urirani zahtjevi virtualnog ho sta, tijek zadataka implementacije hibridne sigurnosti podataka i instalirajte HDS Host OVA kako biste prikazali novi zahtjev ESXi 7.0.
13. prosinca 2024	Prvo objavljeno.

Započnite s hibridnom sigurnošću podataka s više stanara

Pregled sigurnosti hibridnih podataka s više stanara

Od prvog dana sigurnost podataka bila je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, omogućena klijentima Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom sigurnosnom području. Hybrid Data Security prebacuje KMS i druge sigurnosne funkcije u vaš poslovni podatkovni centar, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Multi-Tenant Hybrid Data Security omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera, koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere po potrebi. Svaka instanca može podržati više organizacija kupaca za razliku od uobičajene instalacije HDS-a koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju kupci. Ovaj pristup je ograničen na organizacije kupaca i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako Multi-Tenant Hybrid Data Security pruža suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput davatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Opcija za lokalnu tehničku podršku, ako je pružila partner.
Podržava sadržaj sastanaka, razmjene poruka i poziva.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama da uspostave i upravljaju kupcima u okviru hibridnog sustava zaštite podataka s više stanara.

Ograničenja sigurnosti hibridnih podataka s više stanara

Partnerske organizacije ne smiju imati aktivnu postojeću implementaciju HDS-a u Control Hubu.
Stanari ili organizacije kupaca kojima želi upravljati partner ne smiju imati postojeću instalaciju HDS-a u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici organizacija kupaca kao i korisnici partnerske organizacije počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i organizacije kupaca kojima upravljaju bit će na istoj implementaciji HDS-a s više stanara.

Partnerska organizacija više neće koristiti KMS u oblaku nakon što se implementira Multi-Tenant HDS.
Ne postoji mehanizam za premještanje tipki natrag u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; za detalje pogledajte odjeljak u nastavku.

Uloge u sigurnosti hibridnih podataka s više stanara

Partner puni administrator - Može upravljati postavkama za sve kupce kojima partner upravlja. Također može dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti određene kupce kojima upravljaju partnerski administratori.
Administrator partnera - može upravljati postavkama za korisnike koje je administrator dodijelio ili koji su dodijeljeni korisniku.
Potpuni administrator - Administrator partnerske organizacije koji je ovlašćen za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje HDS-a od kraja do kraja Multi-Tenant i upravljanje svim korisničkim organizacijama - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim stanarskim organiz acijama - Zahtijeva se partnerski administrator i puna administratorska prava.

Arhitektura sigurnosnog područja

Webex arhitektura oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kao što je prikazano u nastavku.

Da bismo bolje razumjeli sigurnost hibridnih podataka, prvo pogledajmo ovaj čisti slučaj oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima kao što je adresa e-pošte, logično je i fizički odvojeno od sigurnosnog područja u podatkovnom centru B. Oba su zauzvrat odvojena od područja gdje se šifrirani sadržaj konačno pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je Webex aplikacija koja se pokreće na korisničkom prijenosnom računalu i potvrdio je autentičnost s uslugom identiteta. Kada korisnik sastavi poruku koju treba poslati u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja koja stvara šifrirane indekse pretraživanja kako bi pomogao u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premjestite u lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući identitet i pohranu sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex App za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak preko zasebnog ECDH kanala kako bi dobio ključ iz odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja radi na Org A provjerava veze s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. U od jeljku Priprema okru ženja za detalje o generiranju x.509 certifikata koji će se koristiti s implementacijom Multi-Tenant Hybrid Data Security.

Očekivanja za implementaciju hibridne sigurnosti podataka

Uvođenje hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Da biste implementirali Hybrid Data Security, morate navesti:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teamsplanove.
Oprema, softver i pristup mreži opisani u odjeljku Pripremite svoje okruženje.

Potpuni gubitak ISO konfiguracije koji ste izgradili za Hybrid Data Security ili baze podataka koju pružate rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izgraditi novu implementaciju, ali bit će vidljiv samo novi sadržaj. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i konfiguracijom ISO.
Budite spremni izvršiti brzi oporavak od katastrofe ako dođe do katastrofe, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Migracija s Multi-Tenant Hybrid Data Security (HDS) na Webex cloud KMS nije podržana. Isključivanje HDS-a rezultirat će gubitkom pristupa sadržaju i podacima prethodno šifriranim tim ključevima. Morate zadržati HDS da biste sačuvali pristup postojećem šifriranom sadržaju.

Postupak postavljanja na visokoj razini

Ovaj dokument obuhvaća postavljanje i upravljanje implementacijom hibridne sigurnosti podataka s više stanara:

Postavljanje hibridne sigurnosti podataka — To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, izgradnju HDS klastera, dodavanje organizacija stanara u klaster i upravljanje njihovim glavnim ključevima korisnika (CMC). To će omogućiti svim korisnicima vaših korisničkih organizacija da koriste vaš klaster Hybrid Data Security za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte implementaciju hibridne sigurnosti podataka — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovu implementaciju i po potrebi uključiti Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Partner Hubu.
Raz@@ umijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznati h problema — Ako naiđete na probleme s implementacijom ili korištenjem Hibridne sigurnosti podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar poslovnog podatkovnog centra implementirate Hybrid Data Security kao jednu skupinu čvorova na zasebnim virtualnim domaćinima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS možete stvoriti prilagođenu ISO datoteku konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Konfigurirate Syslogd i detalje veze baze podataka u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Imati više čvorova osigurava da usluga ne bude prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom datastoru i bilježe aktivnost na istom syslog poslužitelju. Sami čvorovi su bez državljanstva i obrađuju ključne zahtjeve na okrugli način, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor uklonili iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.

Podrška za proxy

Hibridna sigurnost podataka podržava eksplicitne, transparentne inspekcijske i neinspekcijske proxy. Te proxy servere možete povezati sa svojom implementacijom kako biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti administratorsko sučelje platforme na čvorovima za upravljanje certifikatima i za provjeru ukupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi Hybrid Data Security podržavaju sljedeće opcije proxy:

Nema proxy ja — zadano ako za integraciju proxyja ne koristite konfiguraciju Trust Store & Proxy postavke HDS čvora. Nije potrebno ažuriranje certifikata.
Transparentni proxy koji ne provjerava —Čvorovi nisu konfigurirani da koriste određenu adresu proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata.
Transparentno tuneliranje ili provjera proxyja —Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene konfiguracije HTTP ili HTTPS. Međutim, čvorovima je potreban korijenski certifikat tako da vjeruju proxyju. IT obično koristi inspekcijske proxy za provođenje pravila o kojima se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy — S eksplicitnim proxyjem HDS čvorovima kažete koji proxy poslužitelj i shemu provjere autentičnosti koristiti. Da biste konfigurirali eksplicitni proxy, morate unijeti sljedeće podatke na svaki čvor:
1. Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port — broj porta koji proxy koristi za slušanje proxy-proksiranog prometa.
3. Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP—pregledava i kontrolira sve zahtjeve koje klijent šalje.
  - Https — pruža kanal poslužitelju. Klijent prima i potvrđuje certifikat poslužitelja.
4. Vrsta provjere auten tičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
  - Nema —Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
  - Osnovno — koristi se za HTTP korisničkog agenta za davanje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
    
    Zahtijeva da unesete korisničko ime i lozinku na svaki čvor.
  - Digest — Koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako odaberete HTTPS kao proxy protokol.
    
    Zahtijeva da unesete korisničko ime i lozinku na svaki čvor.

Primjer hibridnih sigurnosnih čvorova podataka i proxyja

Ovaj dijagram prikazuje primjer veze između Hybrid Data Security, mreže i proxyja. Za opcije transparentnog pregleda i HTTPS eksplicitnog pregleda proxyja, isti korijenski certifikat mora biti instaliran na proxy serveru i na čvorove Hybrid Data Security.

Blokirani način vanjske rezolucije DNS-a (eksplicitne konfiguracije proxyja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS pretraživanje i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy koje ne dopuštaju vanjsku razlučivost DNS-a za interne klijente, ako čvor ne može upitati DNS poslužitelje, automatski prelazi u način blokirane vanjske DNS rezolucije. U ovom načinu rada mogu se nastaviti registracija čvorova i drugi testovi povezivanja proxy.

Pripremite svoje okruženje

Zahtjevi za hibridnu sigurnost podataka s više stanara

Cisco WebexZahtjevi za licencu

Da biste implementirali hibridnu sigurnost podataka s više stanara:

Organizacije stanara: Morate imati Pro Pack zaCisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi za Docker Desktop

Prije instaliranja HDS čvorova potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša organizacija može zahtijevati plaćenu pretplatu za Docker Desktop. Za detal je pogledajte post na blogu Docker, "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez licence Docker Desktop mogu koristiti alat za upravljanje spremnicima otvorenog koda poput Podman Desktop za pokretanje, upravljanje i stvaranje spremnika. Detalje potra žite u odjeljku Pokreni alat za postavljanje HDS-a pomoću programa Podman Desktop.

Zahtjevi za certifikat X.509

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za certifikat X.509 za implementaciju hibridne sigurnosti podataka
Zahtjev	Detalji
Potpisan od strane pouzdan Certificate Authority og (CA)	Prema zadanim postavkama vjerujemo CA-ima na popisu Mozilla (s izuzetkom WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hibrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan ili živi domaćin. Preporučujemo da koristite ime koje odražava vašu organizaciju, na primjer, `hds.` company.com. CN ne smije sadržavati znak* (zamjenski znak). CN se koristi za provjeru čvorova za hibridnu sigurnost podataka klijentima Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru veza s KMS-ovima drugih organizacija.
Formatirana kao PKCS #12 datoteka zaštićena lozinkom Upotrijebite prijateljski naziv `kms-private-key za označavanje` certifikata, privatnog ključa i svih srednjih certifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete HDS alat za postavljanje.
Podržani algoritam	Podržani su samo RSA certifikati.

KMS softver ne provodi upotrebu ključeva ili proširena ograničenja korištenja ključeva. Neki autoriti certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je provjera autentičnosti poslužitelja. U redu je koristiti provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi za virtualni domaćin

Virtualni domaćini koje ćete postaviti kao hibridne sigurnosne čvorove podataka u vašem klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena domaćina (preporučena 3) smještena u istom sigurnom podatkovnom centru
Podržani hipervizori:
- VMware ESXi 7.0 ili 8.0.
- Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) verzija 26.2.1.
- Nutanix AOS 7.5.x s Nutanix AHV 11.0.x.
Minimalno 4 VCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju.

Zahtjevi poslužitelja baze podataka

Stvorite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2. Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15, 16, 17 ili 18, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017., 2019 ili 2022. (Enterprise ili Standard). SQL Server 2016 zahtijeva servisni paket 2 i kumulativno ažuriranje 2 ili novije verzije.
Minimalno 8 VCPU-a, glavna memorija od 16 GB, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite dugo pokretati bazu podataka bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 VCPU-a, glavna memorija od 16 GB, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite dugo pokretati bazu podataka bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

Upravljački programi za SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On (Always On Failover Cluster Instances i Always On dostupnosti grupe).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows protiv Microsoft SQL Servera

Ako želite da HDS čvorovi koriste provjeru autentičnosti sustava Windows kako bi dobili pristup vašoj bazi podataka za pohranu ključeva na Microsoft SQL Serveru, potrebna vam je sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, Active Directory infrastruktura i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružate HDS čvorovima mora imati pristup čitanju/pisanju baze podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u stanju riješiti vaš centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na Microsoft SQL poslužitelju kao naziv glavnog servisa (SPN) na vašem. Active Directory Pogledajte Registriranje glavnog naziva usluge za Kerberos veze.

Alat za postavljanje HDS-a, HDS pokretač i lokalni KMS moraju koristiti provjeru autentičnosti sustava Windows za pristup bazi podataka ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za izradu SPN-a kada traže pristup pomoću Kerberos autentičnosti.

Zahtjevi za vanjsko povezivanje

Konfigurirajte vatrozid kako biste omogućili sljedeću povezanost za HDS aplikacije:

Aplikacija	Protokol	Luka	Smjer iz aplikacije	Destinacija
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi domaćini zajedničkog identiteta Ostali URL-ovi koji su navedeni za Hibridna sigurnost podataka u tablici Dodatni URL-ovi za Webex Hybrid Services mrež ni zahtjevi za Webex usluge
HDS alat za postavljanje	TCP	443	Odlazni HTTPS	*.wbx2.com Svi domaćini zajedničkog identiteta hub.docker.com

Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopušta potrebne odlazne veze s odredištima domene u prethodnoj tablici. Za veze koje dolaze na čvorove Hybrid Data Security, nijedan priključak ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe.

URL-ovi za domaćine zajedničkog identiteta (CI) specifični su za regiju. Ovo su trenutni CI domaćini:

Regija	Uobičajeni URL-ovi domaćina identiteta
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Zahtjevi proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim Hybrid Data Security čvorovima.
- Transparentni proxy — Cisco Web Security Appliance (WSA).
- Eksplicitni proxy—lignje.
  
  Squid proxy serveri koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Da biste riješili ovaj problem, pogledajte Konfiguriranje Squid proxija za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne proxy servere:
- Nema provjere autentičnosti pomoću HTTP ili HTTPS-a
- Osnovna provjera autentičnosti pomoću HTTP ili HTTPS-a
- Pregledajte provjeru autentičnosti samo s HTTPS-om
Za transparentni proxy za provjeru ili HTTPS eksplicitni proxy, morate imati kopiju korijenskog certifikata proxyja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u skladišta povjerenja čvorova Hybrid Data Security.
Mreža koja ugošćuje HDS čvorove mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 da se usmjerava kroz proxy.
Proksiji koji pregledavaju web promet mogu ometati veze s web utičnicama. Ako se ovaj problem dogodi, zaobilaženje (ne pregledavanje) prometa na wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog popisa provjerite jeste li spremni instalirati i konfigurirati klaster Hybrid Data Security.

1	Pobrinite se da vaša organizacija nema omogućen HDS u Control Hubu i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Pobrinite se da je vaša Webex korisnička organizacija omogućena za Pro Pack za. Cisco Webex Control Hub Obratite se svom Ciscovom partneru ili upravitelju računa za pomoć u vezi s tim postupkom. Organizacije kupaca ne bi trebale imati postojeću implementaciju HDS-a.
2	Odaberite naziv domene za implementaciju HDS-a (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 zahtjevima certifikata.
3	Pripremite identične virtualne hostove koje ćete postaviti kao čvorove za hibridnu sigurnost podataka u svom klasteru. Potrebna su vam najmanje dva odvojena domaćina (preporučena 3) smještena u istom sigurnom podatkovnom centru, koji zadovoljavaju zahtjeve u zahtjevima virtualnog hosta.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu sa zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim domaćinima. Stvorite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka — nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: ime hosta ili IP adresa (host) i priključak naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-ova i poslužitelja sigurnosne baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje trebalo bi imati 3 VM-a.
6	Postavite syslog host za prikupljanje zapisnika iz čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Stvorite sigurnu sigurnu sigurnosnu kopiju čvorova za sigurnosne čvorove hibridnih podataka, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepovratni gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da čvorovi Hybrid Data Security pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, ako se ne održi operativna implementacija, rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije predmemoriraju svoje ključeve, tako da nestanak možda neće biti odmah uočljiv, ali će s vremenom postati očit. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim korisničkim podacima. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te biti spremni obnoviti podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Pobrinite se da konfiguracija vatrozida omogućuje povezivanje vaših čvorova za hibridnu sigurnost podataka kako je navedeno u Zaht jevima za vanjsko povezivanje.
9	Instalirajte Docker (https://www.docker.com) na bilo koji lokalni uređaj koji koristi podržani OS (Microsoft Windows10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Koristite Docker instancu za preuzimanje i pokretanje HDS-ovog alata za postavljanje, koji izgrađ uje informacije o lokalnoj konfiguraciji za sve čvorove Hybrid Data Security. Možda će vam trebati licenca Docker Desktop. Za više informacija pogledajte Zahtjevi za radnu površinu Docker. Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezanost navedenu u Zahtjevi za vanjsko povezivanje.
10	Ako integrirate proxy s hibridnom sigurnošću podataka, provjerite ispunjava li zahtjeve proxy poslužitelja.

Postavljanje klastera za hibridnu sigurnost podataka

Tijek zadataka implementacije hibridne sigurnosti podataka

Prije nego što počnete

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalni stroj za kasniju upotrebu.
2	Stvorite konfiguracijski ISO za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Napravite virtualni stroj iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke. Konfiguriranje mrežnih postavki tijekom implementacije OVA podržano je samo na ESXi 7.0 i 8.0. Za implementacije NFVIS-a pogledajte Instaliranje HDS Host OVA na NFVIS. Za implementacije Nutanixa pogledajte Instaliranje HDS Host OVA na Nutanix
4	Postavljanje virtualnog računala za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfiguri rajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. Za implementacije NFVIS-a pogledajte Postavljanje virtualnog računala za hibridnu sigurnost podataka na NFVIS-u. Za implementacije Nutanixa pogledajte Izrada virtualnog računala za hibridnu sigurnost podataka na Nutanixu
5	Prenesite i montirajte HDS konfiguraciju ISO Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću HDS alata za postavljanje. Za implementacije NFVIS-a pogledajte Učitavanje i montiranje HDS-a za konfiguraciju ISO. Za implementacije Nutanixa pogledajte Učitavanje i montiranje HDS-a za konfiguraciju ISO
6	Konfigurirajte HDS čvor za integraciju proxyja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u trgovinu povjerenja ako je potrebno.
7	Registrirajte prvi čvor u klasteru Registrirajte VM s ob Cisco Webex lakom kao čvor za hibridnu sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS s više stanara na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama stanara na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoj računar (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite U sluge.
2	U odjeljku Hibrid pronađite karticu Hybrid Data Security, a zatim kliknite Postavi. Klikom na Postavi u Partnerskom čvorištu ključan je za postupak implementacije. Nemojte nastaviti s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmite datoteku.OVA na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Security. To može rezultirati problemima tijekom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA također možete preuzeti u bilo koje vrijeme iz odjeljka Pomo ć. Kliknite Postavke > Pomoć > Preuzmite softver za zaštitu hibridnih podataka. OVA datoteka automatski počinje pre uzeti. Spremite datoteku na mjesto na vašem račun alu.

Stvorite konfiguracijski ISO za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim pomoću ISO konfigurirate host Hybrid Data Security.

Prije nego što počnete

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima.

Ako nemate licencu Docker Desktop, možete koristiti Podman Desktop za pokretanje HDS-ovog alata za postavljanje za korake od 1 do 5 u donjem postupku. Detalje potra žite u odjeljku Pokreni alat za postavljanje HDS-a pomoću programa Podman Desktop.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u koraku 5 ispod. Ova tablica daje neke moguće varijable okruženja:

Opis

Varijabilna

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT

HTTP proxy s autentifikacijom

GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s autentifikacijom

GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Potrebna vam je najnovija kopija ove datoteke kad god izvršite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje:

U redovnim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U okruženjima FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne slike alata za postavljanje HDS-a. Ako nema prethodnih slika, vraća se pogreška koju možete zanemariti.

2

Da biste se prijavili u Docker registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

U upit za lozinku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovnim okruženjima:

docker pull ciscocitg/hds-setup:stable

U okruženjima FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za vaše okruženje:

U redovnim okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U okruženjima FedRAMP bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U okruženjima FedRAMP s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U okruženjima FedRAMP s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kada je spremnik pokrenut, vidjet ćete "Ekspresno poslužitelj sluša na priključku 8080."

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika idite na localhost, http://127.0.0.1:8080 i unesite administratorsko korisničko ime za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Tada alat prikazuje standardni upit za prijavu.

7

Kada se od vas zatraži, unesite vjerodajnice za prijavu administratora centra Partner Hub, a zatim kliknite Pri java da biste omogućili pristup potrebnim uslugama za sigurnost hibridnih podataka.

8

Na stranici Pregled alata za postavljanje kliknite Započnite.

9

Na stranici ISO uvoz imate sljedeće opcije:

Ne —Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da —Ako ste već stvorili HDS čvorove, odaberite ISO datoteku u pregledavanju i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u zahtjevima X.50 9 certifikata.

Ako nikada prije niste učitali certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO? . Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS da biste pristupili vašem ključnom datastoru:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dob it ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server) Odaberite vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: potreban vam je lokalni naziv računa SQL Server u polju Korisničko ime.
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu korisničko ime @DOMAIN u polju Korisničko ime.
Unesite adresu poslužitelja baze podataka u obraz ac: <hostname><port>ili: <IP-address><port>.

Primjer:
dbhost.example.org:1433 ili 198.51.100. 17:1433

Možete koristiti IP adresu za osnovnu provjeru autentičnosti ako čvorovi ne mogu koristiti DNS za rješavanje imena hosta.

Ako koristite provjeru autentičnosti sustava Windows, morate unijeti potpuno kvalificirano ime domene u formatu db host.example.org:1433
Unesite naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferirajte TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevajte TLS	HDS čvorovi se povezuju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i provjerite potpisnika certifikata	Ovaj način rada nije primjenjiv za baze podataka SQL Server. HDS čvorovi se povezuju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika da biste prenijeli korijenski certifikat za ovu opciju.
Zahtijevajte TLS i provjerite potpisnika certifikata i ime hosta	HDS čvorovi se povezuju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju odgovara li ime hosta u certifikatu poslužitelja s nazivom hosta u polju Database host i port. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika da biste prenijeli korijenski certifikat za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nast avi, HDS alat za postavljanje testira TLS vezu s poslužiteljem baze podataka. Alat također provjerava potpisnika certifikata i ime hosta, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati hoćete li zanemariti pogrešku i nastaviti s postavljanjem. (Zbog razlika u povezivanju, HDS čvorovi mogu uspostaviti TLS vezu čak i ako je stroj HDS Setup Tool ne može uspješno testirati.)

13

Na stranici System Logs konfigurirajte svoj Syslogd poslužitelj:

Unesite URL poslužitelja syslog.

Ako poslužitelj ne može riješiti DNS iz čvorova vašeg HDS klastera, upotrijebite IP adresu u URL-u.

Primjer:
udp: //10.92.43. 23:514 označava prijavu na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovaranje/rukovanje? .

Ako potvrdite ovaj potvrdni okvir, unesite TCP URL kao što je tcp: //10.92.43. 23:514 i prenesite korijenski certifikat syslog.
Na padajućem izborniku Odaberi završetak zapisa syslog odaberite odgovarajuću postavku za vašu ISO datoteku: Odaberite ili Newline koristi se za Graylog i Rsyslog TCP
- Nulti bajt --\ x00
- Nova linija --\ n —Odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite Nastavi.

14

(Opcionalno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nast avi na zaslonu Reset Service Accounts Password (Reset Service Accounts Password).

Lozinke servisnog računa imaju životni vijek od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Čuvajte sigurnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo onim administratorima Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije.

18

Da biste isključili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za izmjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz baze podataka PostgreSQL ili Microsoft SQL Server nije moguć.

Nikad nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Koristite ovaj postupak za stvaranje virtualnog stroja iz OVA datoteke.

Ako instalirate HDS na NFVIS hipervizoru, pogledajte odjeljak Instaliranje HDS hosta OVA na NFVIS.

Ako instalirate HDS na Nutanixovom hipervizoru, pogledajte odjeljak Instalirajte HDS Host OVA na Nutanix.

1	Upotrijebite VMware vSphere klijent na računalu da biste se prijavili na virtualni host ESXi.
2	Odaberite Dat oteka > Im plementirajte OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberi ime i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_NODE_1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odabir resursa za računanje odaberite odredišni resurs za izračunavanje, a zatim kliknite Dalje. Izvodi se provjera provjere valjanosti. Nakon završetka pojavljuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odab eri pohranu kliknite Dal je da biste prihvatili zadani format diska i pravilo za pohranu VM računala.
9	Na stranici Odaberi mreže odaberite opciju mreže s popisa unosa kako biste osigurali željenu povezanost s VM-om.
10	Na stranici Prilagodi predlož ak konfigurirajte sljedeće mrežne postavke: Naziv ho sta —Unesite FQDN (ime hosta i domena) ili ime hosta s jednom riječju za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Da biste osigurali uspješnu registraciju u oblak, koristite samo mala slova u FQDN-u ili nazivu hosta koje ste postavili za čvor. Kapitalizacija trenutno nije podržana. Ukupna duljina FQDN ne smije biti veća od 64 znaka. IP adresa - Unesite IP adresu za unutarnje sučelje čvora. Vaš čvor bi trebao imati internu IP adresu i DNS ime. DHCP nije podržan. Maska —Unesite adresu maske podmreže u točkasto decimalnu notaciju. Na primjer, 255.255.255.0. Gateway —Unesite IP adresu pristupnika. Gateway je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji — Unesite popis DNS poslužitelja koji se bave prevođenjem imena domena na numeričke IP adrese odvojeni zarezima. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji — Unesite NTP poslužitelj vaše organizacije ili drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za ulazak u više NTP poslužitelja. Postavite sve čvorove na istoj podmreži ili VLAN-u, tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u odjeljku Postavljanje hibridne sigurnosne virtualne mreže podataka da biste konfigurirali postavke s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvor, a zatim odaberite Nap ajanje > Uključeno. Softver Hybrid Data Security instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se na konzolu i konfigurirati čvor. Savjeti za rješavanje problema Možda ćete osjetiti kašnjenje od nekoliko minuta prije nego što se pojave spremnici čvora. Tijekom prvog pokretanja na konzoli se pojavljuje poruka vatrozida mosta tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog računala za hibridnu sigurnost podataka

Pomoću ovog postupka se prvi put prijavite na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.

Ako instalirate HDS na NFVIS hipervizoru, pogledajte odjeljak Postavljanje hibridnog sigurnosnog virtualnog računala podataka na NFVIS-u.

Ako instalirate HDS na Nutanixovom hipervizoru, pogledajte odjeljak Stvaranje hibridnog sigurnosnog virtualnog računala podataka na Nutanixu.

1	U VMware vSphere klijentu odaberite VM čvora Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikazuje, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku za prijavu i promjenu vjerodajnica: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u programu Install HDS Host OVA, preskočite ostatak ovog postupka. Inače, u glavnom izborniku odaberite opciju U redi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresu i DNS ime. DHCP nije podržan.
5	(Neobavezno) Promijenite ime hosta, domenu ili NTP poslužitelje, ako je potrebno kako bi odgovarali mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM tako da promjene stupe na snagu.

Prenesite i montirajte HDS konfiguraciju ISO

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću HDS alata za postavljanje.

Ako instalirate HDS na NFVIS hipervizoru, pogledajte odjeljak Učitavanje i montiranje ISO konfiguracije HDS-a.

Ako instalirate HDS na Nutanixovom hipervizoru, pogledajte odjeljak Učitavanje i montiranje ISO konfiguracije HDS-a.

Prije nego što počnete

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na osnovi "potrebe za znati", za pristup od strane VM-ova Hybrid Data Security i svih administratora koji bi mogli trebati izvršiti promjene. Pobrinite se da samo ti administratori mogu pristupiti datastoreu.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite ESXi poslužitelj.
Na popisu Hardver na kartici Konfiguracija kliknite Po hrana.
Na popisu Datastores desnom tipkom miša kliknite datoteku podataka za vaše virtualne računare i kliknite Pregledaj Datastore.
Kliknite ikonu Učitaj datoteke, a zatim kliknite Učit aj datoteku.
Pregledajte mjesto gdje ste preuzeli ISO datoteku na računalo i kliknite Otvor i.
Kliknite Da da biste prihvatili upozorenje o operaciji prijenosa/preuzimanja i zatvorite dijaloški okvir podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu da biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje iz datastore ISO datoteke i pregledajte mjesto na koje ste prenijeli konfiguracijsku ISO datoteku.
Provjerite Po vez ano i Poveži pri uključenom napajanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika zahtijeva, možete po želji demontirati ISO datoteku nakon što svi vaši čvorovi preuzmu promjene konfiguracije. Pogledajte (Opcionalno) Poništavanje ISO nakon konfiguracije HDS-a za detalje.

Konfigurirajte HDS čvor za integraciju proxyja

Ako mrežno okruženje zahtijeva proxy, upotrijebite ovaj postupak da odredite vrstu proxyja koji želite integrirati s Hybrid Data Security. Ako odaberete transparentni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu s sučelja i riješiti sve potencijalne probleme.

Prije nego što počnete

Pregled podrž anih opcija proxyja potražite u odjeljku Podrška za proxy.
Zahtjevi proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS IP čvora ili FQDN] /setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Trust Store & Proxy, a zatim odaberite opciju: Nema proxy ja —Zadana opcija prije integracije proxyja. Nije potrebno ažuriranje certifikata. Transparentni proxy koji ne provjerava —Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata. Transparentni proxyjev za provjeru — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Za implementaciju Hybrid Data Security nisu potrebne promjene konfiguracije HTTPS-a, međutim, HDS čvorovima je potreban korijenski certifikat kako bi vjerovali proxyju. IT obično koristi inspekcijske proxy za provođenje pravila o kojima se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy — S eksplicitnim proxyjem klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta provjere autentičnosti. Nakon što odaberete ovu opciju, morate unijeti sljedeće podatke: Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy računalu. Proxy port — broj porta koji proxy koristi za slušanje proxy-proksiranog prometa. Proxy protokol —Odaberite http (pregledava i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite opciju na temelju onoga što vaš proxy poslužitelj podržava. Vrsta provjere auten tičnosti — Odaberite između sljedećih vrsta provjere autentičnosti: Nema —Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS proxy. Osnovno — koristi se za HTTP korisničkog agenta za davanje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS proxy. Ako odaberete ovu opciju, morate unijeti i korisničko ime i lozinku. Digest — Koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS proxy servere. Ako odaberete ovu opciju, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za inspekciju, HTTP eksplicitni proxy s osnovnom autentifikacijom ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili Potvrda završnog enti teta, a zatim idite do odabira korijenskog certifikata za proxy. Certifikat je učitan, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona prema nazivu izdavatelja certifikata da biste dobili više detalja ili kliknite Izbri ši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri vezu proxy ja da biste testirali mrežnu povezanost između čvora i proxyja. Ako test veze ne uspije, vidjet ćete poruku o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vidite poruku da vanjska rezolucija DNS-a nije bila uspješna, čvor nije mogao doći do DNS poslužitelja. Ovo se stanje očekuje u mnogim eksplicitnim proxy konfiguracijama. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu blokirane vanjske DNS rezolucije. Ako mislite da je riječ o pogrešci, dovršite ove korake, a zatim pogledajte Isključivanje blokiranog vanjskog načina razlučivanja DNS- a.
5	Nakon što test veze prođe, za eksplicitni proxy postavljen samo na https, uključite prekidač na Usmjerite sve zahtjeve porta 443/444 https s ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u Trgovinu pov jerenja (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovo pokrenite (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Inst aliraj ako ste spremni. Čvor se ponovno pokreće u roku od nekoliko minuta.
7	Nakon ponovnog pokretanja čvora, ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled kako biste provjerili provjere povezanosti kako biste bili sigurni da su svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest problem je taj što su neke od domena oblaka navedenih u uputama za instalaciju blokirane na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavi Hibrid Data Security VM, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, kreirate klaster kojem je dodijeljen čvor. Klaster sadrži jedan ili više čvorova koji su raspoređeni za pružanje redundancije.

Prije nego što počnete

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li blokatori skočnih prozora u vašem pregledniku onemogućeni ili da dopustite iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite karticu Hybrid Data Security i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje St vori novu karticu klastera unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da imenujete klaster na temelju mjesta na kojem se geografski nalaze čvorovi klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirano ime domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u programu Postavljanje virtualnog računala za hibridnu sigurnost podataka. Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka preusmjereni ste na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom sigurnosnom čvoru podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom sigurnosnom čvoru podataka, a zatim kliknite Nast avi. Vaš je račun potvrđen, a poruka "Registracija je završena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Partner Hub Hybrid Data Security. Na stranici Hibridna sigurnost podataka novi klaster koji sadrži čvor koji ste registrirali prikazan je na kartici Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno stvorite dodatne VM-ove i montirajte istu konfiguracijsku ISO datoteku, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije nego što počnete

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li blokatori skočnih prozora u vašem pregledniku onemogućeni ili da dopustite iznimku za admin.webex.com.

1	Stvorite novi virtualni stroj iz OVA, ponavljajući korake u odjeljku Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u odjeljku Post avljanje hibridne sigurnosne virtualne mreže podataka.
3	Na novom VM-u ponovite korake u Uplo ad i montirajte HDS konfiguracijski ISO.
4	Ako postavljate proxy za implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju pro xyja prema potrebi za novi čvor.
5	Registrirajte čvor. Na https://admin.webex.com odaberite Uslu ge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Hybrid Data Security i kliknite Prikaži sve. Pojavljuje se stranica Hibridni sigurnosni resursi podataka. Novonastvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster da biste vidjeli čvorove dodijeljene klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirano ime domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom koja pokazuje da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjereni ste na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom sigurnosnom čvoru podataka. Tamo potvrđujete da želite dati dozvole svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom sigurnosnom čvoru podataka, a zatim kliknite Nast avi. Vaš je račun potvrđen, a poruka "Registracija je završena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Partner Hub Hybrid Data Security. Iskočna poruka s do danim čvorom također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Da biste stvorili dodatne klastere, prijavite se u Partner Hub i kliknite U sluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku da biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama stanara na hibridnoj sigurnosti podataka s više stanara

Aktivirajte HDS s više stanara na Partner Hubu

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije nego što počnete

Provjerite jeste li dovršili postavljanje HDS klastera Multi-Tenant s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici statusa HDS.

Dodajte organizacije stanara u Partner Hub

U ovom zadatku dodjeljujete korisničke organizacije svom klasteru za hibridnu sigurnost podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu D odijeljeni kup ci. Kartic a Dodijeljeni klijenti neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj kupce.
6	Odaberite kupca kojeg želite dodati iz padajućeg izbornika.
7	Kliknite Dodaj, kupac će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više kupaca u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što dodate kupce. Dodani kupci bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Izradi glavnih ključeva korisnika (CMKs) pomoću alata za postavljanje HDS-a da biste dovršili postupak postavl janja.

Stvaranje glavnih ključeva korisnika (CMK-ova) pomoću alata za postavljanje HDS-a

Prije nego što počnete

Dodijelite kupce kako je detaljno opis ano u članku Dodaj organizacije stanara u Partner Hu bu. Pokrenite alat za postavljanje HDS-a da biste dovršili postupak postavljanja za novododane organizacije kupaca.

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima za vašu organizaciju.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u koraku 5. Ova tablica daje neke moguće varijable okruženja:

Opis	Varijabilna
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP proxy s autentifikacijom	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s autentifikacijom	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Potrebna vam je najnovija kopija ove datoteke kad god izvršite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim pomoću ISO konfigurirate host Hybrid Data Security.

1	U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne slike alata za postavljanje HDS-a. Ako nema prethodnih slika, vraća se pogreška koju možete zanemariti.
2	Da biste se prijavili u Docker registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	U upit za lozinku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovnim okruženjima: `docker pull ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U okruženjima FedRAMP bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno poslužitelj sluša na priključku 8080."
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika idite na localhost, `http://127.0.0.1:8080` i unesite administratorsko korisničko ime za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Tada alat prikazuje standardni upit za prijavu.
7	Kada se od vas zatraži, unesite vjerodajnice za prijavu administratora centra Partner Hub, a zatim kliknite Pri java da biste omogućili pristup potrebnim uslugama za sigurnost hibridnih podataka.
8	Na stranici Pregled alata za postavljanje kliknite Započnite.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite ISO datoteku u pregledniku i prenesite je. Osigurajte povezivanje s bazom podataka kako biste izvršili upravljanje CMK-om.
11	Idite na kar ticu Upravljanje CMK stanarima, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima stanara. Stvorite CMK za sve ORG- ove ili Krei rajte CMK - Kliknite na ovaj gumb na natpisu na vrhu zaslona da biste stvorili CMK-ove za sve novododane organizacije. Kliknite gumb U pravljanje CM K-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove da biste stvorili CM K-ove za sve novododane organizacije. Kliknite blizu CMK menadžmenta na čekanju statusa određene organizacije u tablici i kliknite Stvori CMK da biste stvorili CMK za tu organizaciju.
12	Nakon uspješnog kreiranja CMK-a status u tablici promijenit će se s upravljanja CMK-om na čekanju na CM K upravl janom.
13	Ako kreiranje CMK nije uspješno, prikazat će se pogreška.

Uklonite organizacije stanara

Prije nego što počnete

Nakon uklanjanja, korisnici organizacija kupaca neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika obratite se svom Ciscovom partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodi jeljeni kup ci.
5	Na popisu organizacija kupaca koje se prikazuju kliknite na desnoj strani organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja tako što ćete opozvati CMK-ove organizacija kupaca kako je detaljno opisano u Opozovite CMK- ove stanara uklonjenih iz HDS- a.

Opozvati CMK-ove stanara uklonjenih iz HDS-a.

Prije nego što počnete

Uklonite kupce kako je detaljno opisano u Ukloni organizacije stan ara. Pokrenite alat za postavljanje HDS da biste dovršili postupak uklanjanja za organizacije korisnika koje su uklonjene.

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima za vašu organizaciju.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u koraku 5. Ova tablica daje neke moguće varijable okruženja:

Opis	Varijabilna
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP proxy s autentifikacijom	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s autentifikacijom	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Potrebna vam je najnovija kopija ove datoteke kad god izvršite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim pomoću ISO konfigurirate host Hybrid Data Security.

1	U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne slike alata za postavljanje HDS-a. Ako nema prethodnih slika, vraća se pogreška koju možete zanemariti.
2	Da biste se prijavili u Docker registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	U upit za lozinku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovnim okruženjima: `docker pull ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U okruženjima FedRAMP bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno poslužitelj sluša na priključku 8080."
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika idite na localhost, `http://127.0.0.1:8080` i unesite administratorsko korisničko ime za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Tada alat prikazuje standardni upit za prijavu.
7	Kada se od vas zatraži, unesite vjerodajnice za prijavu administratora centra Partner Hub, a zatim kliknite Pri java da biste omogućili pristup potrebnim uslugama za sigurnost hibridnih podataka.
8	Na stranici Pregled alata za postavljanje kliknite Započnite.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite ISO datoteku u pregledniku i prenesite je.
11	Idite na kar ticu Upravljanje CMK stanarima, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima stanara. Opozovite CMK za sve ORG- ove ili O pozovite CMK - Kliknite na ovaj gumb na natpisu na vrhu zaslona da biste opozvali CMK-ove svih organizacija koje su uklonjene. Kliknite gumb Upravljanje CM K-ovima na desnoj strani zaslona i kliknite Opozovi CMK-ove da biste opozvali CM K-ove svih organizacija koje su uklonjene. Kliknite u blizini CMK-a da biste opozvali status određene organizacije u tablici i kliknite Opozovi CM K da biste opozvali CM K za tu određenu organizaciju.
12	Nakon što je opoziv CMK uspješan, organizacija kupaca više se neće pojavljivati u tablici.
13	Ako opoziv CMK nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Koristite ovaj postupak za testiranje scenarija šifriranja hibridnih podataka s više stanara.

Prije nego što počnete

Postavite implementaciju hibridne sigurnosti podataka s više stanara.
Provjerite imate li pristup syslogu kako biste provjerili prenose li se ključni zahtjevi na vašu implementaciju Multi-Tenant Hybrid Data Security.

1

Tipke za određeni prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici stvaraju više neće biti dostupan nakon zamjene kopije ključeva za šifriranje u predmemoriji klijenta.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz syslog da biste provjerili prenose li ključni zahtjevi na vašu implementaciju Hybrid Data Security.

Ako korisnik novododate organizacije korisnika izvrši bilo koju radnju, Org ID organizacije pojavit će se u zapisnicima, a to se može upotrijebiti za provjeru koristi li organizacija HDS s više stanara. Provjerite vrijednost KMS.Data.Or gid u syslogovima.

Da biste provjerili da li korisnik prvo uspostavlja siguran kanal za KMS, filtrirajte na kms.data.method=create i kms.data. type=ephemeral_key_collection:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=i kms.data.type= key:

Trebali biste pronaći unos kao što je:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data. type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS Resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte na kms.data.method=create i kms. data.type=resource_collection:

Trebali biste pronaći unos kao što je:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tumačenje HDS zapisnika i razumijevanje oznaka agenta

HDS dnevnici pružaju detaljne informacije o KMS zahtjevima. Ovi zapisnici uključuju različita polja koja pomažu identificirati prirodu zahtjeva i povezani identitet. Razumijevanje ovih polja bitno je za pravilno tumačenje aktivnosti i pouzdanih unutarnjih operacija.

Terminologija

Kako bi se osigurala jasnoća prilikom pregleda HDS zapisnika, važno je razumjeti sljedeće pojmove:

Termin	Definicija
Servisni račun	Identitet usluge koji omogućuje Webex uslugama da sigurno obavljaju ovlaštene radnje.
Agent	Identitet uslužnog subjekta ili servisnog računa koji se koristi za obavljanje automatiziranih operacija unutar HDS okruženja.
Oznaka agenta	Oznaka uključena u HDS zapisnike koja identificira određeni izvor i vrstu dolaznog zahtjeva, omogućujući učinkovitu reviziju kontrole pristupa.
Delegirani pristup	Ovlašteni servisni račun koji pod nosi zahtjev za određenog korisnika, unutar dopuštenja tog korisnika. Pojavljuje se kao zahtjev za deleg iranje: `agent -> userid`.

Izraz "agent" u ovom se kontekstu posebno odnosi na identitete HDS usluga. Oni nisu povezani s agentima na AI koji se koriste u drugim Webexovim značajkama.

Zahtjev se do stavlja samo ako potječe iz:

autentificiranog korisnika u vašoj organizaciji ili
servisni račun koji se nalazi u vašoj organizaciji i koji je ovlaštena od nje.

Pregled polja dnevnika

Polje	Što predstavlja
Vremenska oznaka	Datum i vrijeme operacije.
kms.data.metoda	Izvedena operacija KMS (npr. Preuzimanje).
kms.data.orgld	Identifikator organizacije.
KMS.Data.HttpUserAgent	Klijent ili usluga koja podnosi zahtjev.
WEBEX_TRACKINGID	Jedinstveni identifikator praćenja za zahtjev.
Kms.Data.UriHost/kms.data.uri	Domaćin i resurs ciljani zahtjevom.
kms.data.userld	Identitet koji izvršava zahtjev, uključujući oznaku agenta.
kms.odgovor.uspjeh	Označava je li zahtjev uspio.

Vrste zahtjeva - Brza referenca

Oznaka u dnevniku	Oznaka agenta	Što predstavlja	Tipične operacije
Vrsta korisnika: UserAgent	Korisnički agent	Pouzdani račun usluge vezan za tijek rada korisnika, koji se odnosi na vašu organizaciju.	Stvaranje/upravljanje ključevima za korisnički proces.
o-agent <id>-> korisnik <id>	Organizacijski agent	Račun pouzdanog servisa na razini org-a koji koristi delegirani pristup.	Izvlačenje Webex podataka od strane službenika za usklađenost, integracije kalendara.
c-agent <id>-> korisnik <id>	Agent u oblaku	Webex usluga koja obavlja delegirani zahtjev za određenog korisnika.	Skeniranje virusa, pregled sadržaja, transkripti.
c-agent <id>	Agent u oblaku	Webex usluga koja obavlja delegirani zahtjev.	ECDHE/tipke sesije.
UUID krajnjeg korisnika	-	Autentificirani krajnji korisnik u interakciji s HDS-om.	Korisnik preuzima vlastiti ključ.

Vrste zahtjeva - U detalje

Oznake agenta kategoriziraju izvor zahtjeva i pomažu u određivanju odgovarajućih kontrola pristupa. Sljedeći primjeri prikazuju više vrsta zahtjeva i oznake agenta povezane s njima.

Korisnički agent (UserAgent):

To su pouzdani Webex servisni računi povezani s određenim korisničkim tijekovima rada i obuhvaćeni su organizaciji kupaca. Obično se koriste kada usluga stvara i upravlja ključevima u ime korisničkog tijeka rada.

Uzorak dnevnika:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Dnevnik uzorka prikazuje korisničkog agenta (UserAgent) koji izvodi operacije prikupljanja resursa za Webex uslugu.
Organizacijski agent (o-agent):

Ovi pouzdani Webex servisni računi ovlašteni su za obavljanje delegiranih operacija u ime korisnika unutar HDS-a. Opremljeni u organizaciju kupaca, ovi računi izvršavaju operacije na razini organizacije. Ova funkcija podržava nekoliko značajki, kao što je omogućavanje službenicima za usklađenost da pretražuju i izdvajaju Webex komunikacijske podatke - osiguravajući organizacijsku usklađenost s regulatornim standardima, sigurnosnim standardima i standardima privatnosti podataka.

Uzorak dnevnika:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Dnevnik uzorka prikazuje organizacijskog agenta (o-agent 9 [~] c) koji preuzima ključ u ime korisnika (4 [~] b) za Webex uslugu.
Agent u oblaku (c-agent):
Ovi pouzdani Webex servisni računi ovlašteni su za obavljanje operacija na HDS-u putem delegiranog pristupa u ime korisnika. Podržavaju osnovne značajke - kao što su snimke nakon sastanka, transkripti, skeniranje protiv zlonamjernog softvera i pregled datoteka koji poboljšavaju cjelokupno korisničko iskustvo.

Iako se agenti u oblaku mogu onemogućiti izmjenom ISO-a, kupci bi trebali biti svjesni da će to rezultirati gubitkom funkcionalnosti, kao što su snimke nakon sastanka, transkripti, pregled datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spaces. Dodatne informacije potražite u odjeljku Onemogući agente u oblaku.

Uzorak dnevnika:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Dnevnik uzorka prikazuje agenta u oblaku (c-agent b [~] c) koji preuzima ključ sadržaja u ime korisnika (9 [~] c).

Izravna interakcija krajnjeg korisnika:

Autentificirani korisnik izravno komunicira s HDS-om.

Uzorak dnevnika:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ključni pokazatelj: Dnevnik uzorka prikazuje krajnjeg korisnika (c [~] f) koji preuzima ključ i izravno komunicira s HDS-om.

Nadgledajte zdravlje hibridne sigurnosti podataka

Pokazatelj statusa unutar Partner Hub-a pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnija upozorenja prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U Partner Hu bu odaberite U slu ge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Uredi postavke. Pojavljuje se stranica Hibridne postavke sigurnosti podataka.
3	U odjeljku Obavijesti e-pošte upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljanje implementacijom HDS-a

Upravljanje instalacijom HDS-a

Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se obavljaju prema rasporedu nadogradnje klastera. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored od 3:00 ujutro Dnevno Sjedinjene Države: America/Los Angeles. Također možete odlučiti odgoditi nadolazeću nadogradnju, ako je potrebno.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni sigurnosni resursi podataka odaberite klaster.
5	Kliknite karticu Postavke klastera.
6	Na stranici Postavke klastera u odjeljku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Pod vremenskom pojasom prikazan je sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promijenite konfiguraciju čvora

Povremeno ćete možda trebati promijeniti konfiguraciju vašeg čvora Hybrid Data Security iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena mora odgovarati izvornoj domeni koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku baze podataka PostgreSQL ili Microsoft SQL Server.

Ne podržavamo migraciju podataka s PostgreSQL-a na Microsoft SQL Server ili na suprotan način. Da biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hybrid Data Security.
Stvaranje nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke servisnih računa koje imaju životni vijek od devet mjeseci. Nakon što alat HDS Setup generira ove lozinke, implementirate ih na svaki od vaših HDS čvorova u ISO konfiguracij skoj datoteci. Kada se lozinke vaše organizacije bliže isteku, primit ćete obavijest od Webexovog tima da resetirate lozinku za račun vašeg računala. (E-pošta sadrži tekst "Upotrijebite API-j računskog računa za ažuriranje lozinke.") Ako vaše lozin ke još nisu istekle, alat vam daje dvije mogućnosti:

Soft reset - Stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje da postupno zamijenite ISO datoteku na čvorovima.
Tvrdo reseti ranje — Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vašu HDS uslugu, zahtijev ajući trenutno hard reset i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirate novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima partnera.

Ako nemate licencu Docker Desktop, možete koristiti Podman Desktop za pokretanje HDS-ovog alata za postavljanje za korake od 1.a do 1.e u donjem postupku. Detalje potra žite u odjeljku Pokreni alat za postavljanje HDS-a pomoću programa Podman Desktop.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u 1.e. Ova tablica daje neke moguće varijable okruženja:

Opis	Varijabilna
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP proxy s autentifikacijom	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s autentifikacijom	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracijske ISO datoteke. ISO sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. ISO vam je potreban kada unosite promjene konfiguracije, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Pomoću Dockera na lokalnom stroju pokrenite HDS alat za postavljanje. U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne slike alata za postavljanje HDS-a. Ako nema prethodnih slika, vraća se pogreška koju možete zanemariti. Da biste se prijavili u Docker registar slika, unesite sljedeće: `docker login -u hdscustomersro` U upit za lozinku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovnim okruženjima: `docker pull ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Obavezno povucite najnoviji alat za postavljanje za ovaj postupak. Verzije alata stvorene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s httpsProxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U okruženjima FedRAMP bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno poslužitelj sluša na priključku 8080." Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se od vas zatraži, unesite vjerodajnice za prijavu korisnika Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute da biste dovršili alat i preuzeli ažuriranu datoteku. Da biste isključili alat za postavljanje, upišite `CTRL+C`. Napravite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Detaljnije upute potražite u odjeljku Stvaranje i registracija više čvorova. Instalirajte HDS host OVA. Postavite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku montirajte ISO datoteku. Izvršite sljedeći postupak na svakom čvoru zauzvrat, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Za implementacije VMware: Isključite HDS virtualni stroj. U VMware vSphere klijentu odaberite HDS virtualni stroj. Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke. Odaberite CD/DVD pogon 1. Ako je ISO datoteka trenutno priložena, odvojite je prije nastavka. Odaberite Datastore ISO File, a zatim odaberite novu konfiguracijsku ISO datoteku. Odaberite Po vez ano i Poveži pri uključivanju. Spremite promjene i napajanje na virtualnom stroju. Za NFVIS implementacije: Idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika i prenesite novu konfiguracijsku ISO datoteku u spremište slika NFVIS. Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite HDS virtualni stroj. Isključite HDS virtualni stroj i pričekajte dok se njegov status ne promijeni u Isključi vanje. Otvorite CD-ROM uređaje. Ako je ISO datoteka trenutno priložena, odvojite je i provjerite ne ostaje li priložena ISO datoteka. Odaberite Pril ozi, a zatim odaberite novo prenesenu konfiguracijsku ISO datoteku. Dovršite operaciju i provjerite je li navedena nova konfiguracijska ISO datoteka. Pokrenite HDS virtualni stroj. Za Nutanix implementacije: U Prism Central idite na Infrastructure > Compute > Images. Odaberite Dodaj sliku. U odjeljku Izvor slike odaberite Datote ka slike, a zatim odaberite Dodaj datoteku. Odaberite novu konfiguraciju ISO i provjerite je li Vrsta postavljena na ISO. Dovršite odabir lokacije za ciljni klaster i dovršite prijenos. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi. Otvorite karticu VM- ovi Diskovi. Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši. Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Uključeno. Potvrdite da se najmanje 15 minuta ne pojavljuju alarmi.
4	Ponovite korak 3 da biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključite blokirani vanjski način rezolucije DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS pretraživanje i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može riješiti javna DNS imena, čvor automatski prelazi u način blokirane vanjske DNS rezolucije.

Ako vaši čvorovi mogu riješiti javna DNS imena putem internih DNS poslužitelja, ovaj način možete isključiti ponovnim pokretanjem testa proxy veze na svakom čvoru.

Prije nego što počnete

Pobrinite se da vaši interni DNS poslužitelji mogu riješiti javna DNS imena i da vaši čvorovi mogu komunicirati s njima.

1	U web pregledniku otvorite sučelje čvora Hybrid Data Security (IP adresa/postavka, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Pri java.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska razlučivost DNS- a postavljena je na Da.
3	Idite na stranicu Trgovina povjerenja i proxy.
4	Kliknite Pro vjeri vezu s proxyjem. Ako vidite poruku koja kaže da vanjska DNS rezolucija nije bila uspješna, čvor nije mogao doći do DNS poslužitelja i ostat će u ovom načinu rada. Inače, nakon što ponovno pokrenete čvor i vratite se na stranicu Pregled, blokirana vanjska DNS rezolucija trebala bi biti postavljena na br.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru Hybrid Data Security.

Uklanjanje čvora

Pomoću ovog postupka uklonite čvor za hibridnu sigurnost podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup vašim sigurnosnim podacima.

1

Upotrijebite sučelje za upravljanje hipervizora u vašoj implementaciji kako biste locirali i isključili HDS virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite U sluge.
Na kartici Hibrid Data Security kliknite Prikaži sve da biste prikazali stranicu Hibridni sigurnosni resursi podataka.
Odaberite klaster da biste prikazali ploču Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Od javite ovaj čvor na ploči koja se pojavljuje s des ne strane
Također možete odjaviti čvor klikom na... na desnoj strani čvora i odabirom Odjavite čvor.

3

Koristeći upravljačko sučelje za hipervizor u vašoj implementaciji, pronađite i izbrišite HDS virtualni stroj.

Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Data centar u stanju pripravnosti za oporavak od katastrofe

Tijekom implementacije postavili ste siguran podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovnog centra, možete ručno prekinuti implementaciju u podatkovni centar u stanju pripravnosti.

Baze podataka aktivnih podatkovnih centara i podatkovnih centara u stanju pripravnosti sinkronizirane su jedna s drugom što će minimizirati vrijeme potrebno za izvođenje prijenosa neuspjeha.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavljanje podatkovnog centra u stanju pripravnosti za oporavak od katastrofe

Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovnog centra u stanju pripravnosti:

Prije nego što počnete

Podatkovni centar u stanju pripravnosti trebao bi zrcaliti proizvodno okruženje VM-a i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje trebalo bi imati 3 VM-a. (Pogledajte podatkovni centar za stanje pripravnosti za oporavak od katastrofe za pregled ovog modela prekida neuspjeha.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjelj ku Stvorite ISO konfiguraciju za HDS-ove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju se trebaju izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku da biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati nikakvim prometom. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo onim administratorima Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije.
6	Montirajte konfiguracijsku ISO datoteku: Prije ugradnje nove konfiguracije ISO: Isključite HDS čvor. Provjerite nije li trenutno priložena ISO datoteka. Ako je priložena ISO datoteka, odvojite je prije nastavka. Za implementacije VMware: U VMware vSphere klijentu odaberite HDS virtualni stroj. Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke. Odaberite CD/DVD pogon 1. Odaberite Datastore ISO File, a zatim odaberite novu konfiguracijsku ISO datoteku. Provjerite jesu li odabrani Povezani i Pove ži pri uključivanju. Spremite promjene. Za NFVIS implementacije: Idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika i prenesite novu konfiguracijsku ISO datoteku u spremište slika NFVIS. Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite HDS virtualni stroj. Otvor ite CD-ROM uređaje i provjerite nije li trenutno priložena ISO datoteka. Odaberite Pril ozi, a zatim odaberite novo prenesenu konfiguracijsku ISO datoteku. Dovršite operaciju i provjerite je li priložena nova konfiguracijska ISO datoteka. Za Nutanix implementacije: U Prism Central idite na Infrastructure > Compute > Images. Odaberite Dodaj sliku. U odjeljku Izvor slike odaberite Datote ka slike, a zatim odaberite Dodaj datoteku. Odaberite novu konfiguraciju ISO i provjerite je li Vrsta postavljena na ISO. Dovršite odabir lokacije za ciljni klaster i dovršite prijenos. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi. Otvorite karticu VM- ovi Diskovi. Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši. Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u.
7	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
8	Ponovite postupak za svaki čvor u podatkovnom centru u stanju pripravnosti. Provjerite syslogove kako biste provjerili jesu li čvorovi u pasivnom načinu rada. Trebali biste moći vidjeti poruku "KMS konfiguriran u pasivnom načinu rada" u syslogovima.

Što učiniti sljedeće

Nakon konfiguriranja Pasi veMode u ISO datoteci i spremanja, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije PassiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog Pasive Mode može pomoći u brz om postupku prekida kvara tijekom oporavka od katastrofe. Detaljan postupak neuspjeha potražite u odjelj ku Oporavak od katastrofe pomoću podatkovnog centra u stanju pripravnosti.

Oporavak od katastrofe pomoću podatkovnog centra u stanju pripravnosti

Najkritičnija usluga koju pruža vaš klaster Hybrid Data Security je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim da ih preuzmu, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, neophodno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracije ISO koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće prakse obvezne su kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da instalacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u podatkovni centar u stanju pripravnosti.

Prije nego što počnete

Upotrijebite najnoviju ISO datoteku koja je konfigurirana u odnosu na čvorove klastera koji je prethodno bio aktivan da biste izvršili dolje navedeni postupak neuspjeha.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjelj ku Stvorite ISO konfiguraciju za HDS-ove.
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju ispod ili uklonite konfiguraciju Pasive `Mode da biste` čvor učinili aktivnim. Čvor može upravljati prometom nakon što je to konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo onim administratorima Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije.
6	Montirajte konfiguracijsku ISO datoteku: Prije ugradnje nove konfiguracije ISO: Isključite HDS čvor. Provjerite nije li trenutno priložena ISO datoteka. Ako je priložena ISO datoteka, odvojite je prije nastavka. Za implementacije VMware: U VMware vSphere klijentu odaberite HDS virtualni stroj. Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke. Odaberite CD/DVD pogon 1. Odaberite Datastore ISO File, a zatim odaberite novu konfiguracijsku ISO datoteku. Provjerite jesu li odabrani Povezani i Pove ži pri uključivanju. Spremite promjene. Za NFVIS implementacije: Idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika i prenesite novu konfiguracijsku ISO datoteku u spremište slika NFVIS. Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite HDS virtualni stroj. Otvor ite CD-ROM uređaje i provjerite nije li trenutno priložena ISO datoteka. Odaberite Pril ozi, a zatim odaberite novo prenesenu konfiguracijsku ISO datoteku. Dovršite operaciju i provjerite je li priložena nova konfiguracijska ISO datoteka. Za Nutanix implementacije: U Prism Central idite na Infrastructure > Compute > Images. Odaberite Dodaj sliku. U odjeljku Izvor slike odaberite Datote ka slike, a zatim odaberite Dodaj datoteku. Odaberite novu konfiguraciju ISO i provjerite je li Vrsta postavljena na ISO. Dovršite odabir lokacije za ciljni klaster i dovršite prijenos. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi. Otvorite karticu VM- ovi Diskovi. Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši. Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u.
7	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
8	Ponovite postupak za svaki čvor u podatkovnom centru u stanju pripravnosti. Provjerite izlaz syslog da biste provjerili nisu li čvorovi podatkovnog centra u stanju pripravnosti u pasivnom načinu rada. "KMS konfiguriran u pasivnom načinu rada" ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon neuspjeha, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite podatkovni centar u mirovanju u pasivni način rada slijedeći korake opisane u odjeljku Postavljanje podatkovnog centra u stanju pripravnosti za oporavak od katastrofe.

(Opcionalno) Odmontirajte ISO nakon HDS-a konfiguracije

Standardna HDS konfiguracija radi s montiranim ISO. No, neki kupci radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete demontirati nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za izmjene konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi preuzmu promjene konfiguracije, ovim postup kom možete ponovo demontirati ISO.

Prije nego što počnete

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

Odvojite konfiguracijsku ISO datoteku.

Za implementacije VMware:

Isključite jedan HDS čvor.
U VMware vSphere klijentu odaberite HDS virtualni stroj.
Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke.
Odaberite CD/DVD pogon 1 i odvojite montiranu konfiguracijsku ISO datoteku.
Obri šite Connec ted i Connect pri uključenom napajanju, a zatim spremite promjene.
Uključite HDS čvor i provjerite da se najmanje 20 minuta ne pojavljuju alarmi.
Ponovite ove korake za preostale HDS čvorove, jedan po jedan.

Za NFVIS implementacije:

Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite jedan HDS virtualni stroj.
Isključite VM i pričekajte dok se njegovo stanje ne promijeni u Isklju či vanje.
Otvorite CD-ROM uređaje.
Odaberite priloženu konfiguracijsku ISO datoteku i kliknite Odvoji.
Provjerite da ISO datoteka više nije priključena na virtualni stroj.
Pokrenite HDS čvor i provjerite da se najmanje 20 minuta ne pojavljuju alarmi.
Ponovite ove korake za preostale HDS čvorove, jedan po jedan.

Za Nutanix implementacije:

Idite na Infrastruktura > Računi > VM-ovi i odaberite jedan HDS virtualni stroj.
Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi.
Otvorite kar ticu Diskovi na VM-u.
Odaberite ISO unos konfiguracije čija je vrsta CD-ROM.
Kliknite Iz bac i.
Potvrdite da ISO konfiguracija više nije montirana.
Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Uključeno.
Potvrdite da se najmanje 15 minuta ne pojavljuju alarmi.
Ponovite ove korake za preostale HDS čvorove, jedan po jedan.

Rješavanje problema sa sigurnošću hibridnih podataka

Pregled upozorenja i rješavanje problema

Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostižni ili klaster radi tako sporo da zahtijeva istekanje vremena. Ako korisnici ne mogu doći do vašeg klastera Hybrid Data Security, imaju sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti nove tipke)
Poruke i naslovi razmaka ne mogu se dešifrirati za:
- Novi korisnici dodani u prostor (ne mogu preuzeti tipke)
- Postojeći korisnici u prostoru koji koriste novi klijent (ne mogu preuzeti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno nadgledate svoj klaster za sigurnost hibridnih podataka i odmah odgovorite na sva upozorenja kako biste izbjegli poremećaj usluge.

Upozorenja

Ako postoji problem s postavkom Hybrid Data Security, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poštu na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Akcija
Neuspjeh pristupa lokalnoj bazi podataka.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Neuspjeh veze lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i da su u konfiguraciji čvora korištene prave vjerodajnice računa usluge.
Neuspjeh pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje.
Obnavljanje registracije usluga u oblaku.	Registracija za usluge u oblaku je prekinuta. Obnova registracije je u tijeku.
Registracija usluge u oblaku je pala.	Registracija na usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat poslužitelja s konfiguriranom domenom aktivacije usluge. Najvjerojatniji uzrok je taj što je certifikat CN nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Nije uspjela autentifikacija usluga u oblaku.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Nije uspjelo otvoriti lokalnu datoteku za pohranu ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci za pohranu ključeva.
Certifikat lokalnog poslužitelja je nevažeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdaniCertificate Authority.
Nije moguće objaviti mjerne podatke.	Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite ISO konfiguraciju montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje prilikom ponovnog pokretanja i da li se uspješno montira.
Postavljanje stanara nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću HDS alata za postavljanje.
Postavljanje stanara nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivanjem CMK-ova organizacija stanara koji su uklonjeni pomoću HDS alata za postavljanje.

Rješavanje problema sa sigurnošću hibridnih podataka

Upotrijebite sljedeće opće smjernice prilikom rješavanja problema s Hibridnom sigurnošću podataka.

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i popravite sve stavke koje tamo pronađete. Pogledajte donju sliku za referencu.
5	Pregledajte izlaz syslog poslužitelja radi aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
6	Obratite se Ciscovoj podrš ci.

HDS API-ji za razvojne programere

API-ji za programere HDS način su za dohvaćanje analitičkih i nadzornih podataka, kao i rješavanje problema s implementacijama HDS-a putem Webex portala za razvojne programere. API-ji su dostupni na https://developer.webex.com/messaging/docs/api/v1/hds.

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka trgovine ključeva, korisnici korisničkih organizacija Webex aplikacije više ne mogu koristiti razmake ispod popisa Ljudi koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili rješenje za ovaj problem i pozivamo vas da ne isključite HDS usluge nakon što rade s aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Postavljanje i konfiguriranje HDS-a na NFVIS-u

Slijedite dolje navedene postupke za postavljanje HDS-a na NFVIS hipervizoru. Postupak uključuje instaliranje HDS OVA, postavljanje VM-a, postavljanje ISO konfiguracije i provjeru implementacije.

Instalirajte HDS Host OVA na NFVIS

Prije nego što počnete

Ispunite preduvjete za zaštitu hibridnih podataka i preuzmite najnoviji HDS OVA. Preimenujte datoteku pomoću formata hds- .ova za praćenje; na primjer, hds-26-augus-2026.ova. <DD-MMM-YYYY>
Stvorite HDS konfiguracijski ISO i sigurno ga pohranite. ISO sadrži glavni ključ za šifriranje.
Prikupite statičku IP adresu čvora, masku podmreže, pristupnik, DNS poslužitelj, NTP poslužitelj i naziv mreže NFVIS.
Potvrdite da imate NFVIS administratorski pristup i dovoljan kapacitet za dodjelu najmanje 4 VCPU-a, 8 GB memorije i 30 GB prostora za pohranu po HDS čvoru.

1	Prijavite se na NFVIS sučelje i idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika.
2	Odaberite opciju LOCAL i prenesite preimenovanu HDS OVA datoteku (na primjer, hds-26-kolovoz-2026.ova).
3	Postavite Vrstu radnog opterećenja VM na Pozivanje, a Vr sta virtualnog računala na ECP/VIDEO MESH, a zatim odaberite Učitaj datoteku.
4	Pratite napredak prijenosa do završetka.
5	Potvrdite da je učitana OVA označena kao aktivna i da je NFVIS uspješno stvorio povezani prilagođeni OVA profil.

Postavljanje virtualnog računala za hibridnu sigurnost podataka na NFVIS-u

1	Idite na Konfiguracija > Instali raj i odaberite ECP/VIDEO MESH iz izbornika Odaberi VM.
2	Unesite jedinstveno ime virtualnog računala, odaberite prethodno prenesenu HDS sliku i odaberite odgovarajući prilagođeni OVA profil u odjeljku Detalji implementacije.
3	Odaberite DEPLO Y i pričekajte obavijest o uspješnoj implementaciji.
4	Idite na Konfiguracija > Virtualni stroj > Upravl janje da biste provjerili je li novi HDS VM aktivan.
5	Vratite se na Konfiguracija > Instaliraj, odaberite HDS VM i pomoću padajućeg popisa M režna sučel ja priključite ga na potrebnu WAN mrežu.
6	Odaberite DEPLO Y da biste primijenili promjene konfiguracije mreže.

Prenesite i montirajte HDS konfiguraciju ISO

1	Prije nastavka provjerite je li HDS konfiguracijska ISO datoteka prenesena u spremište slika putem Konfiguracija > Virtualni stroj > Slike > Repozitorij slika.
2	Otvorite terminal za HDS VM putem konfiguracije > Virtualni stroj > Upravl janje i izvršite početnu prijavu pomoću zadanih vjerodajnica. `Korisničko ime: admin` `Lozinka: ciscosystems`
3	Promijenite vjerodajnice administratora kada se to zatraži.
4	Konfigurirajte statičku IP adresu čvora, masku podmreže, pristupnik, DNS i NTP postavke pomoću opcije Uredi konfiguraciju.
5	Isključite HDS VM kako biste olakšali postupak montaže.
6	Otvorite izbornik VM akcija, odaberite CD-ROM i odaberite HDS konfiguracijski ISO da biste ga priključili na VM.
7	Uključite VM i provjerite započinje li uspješno s montiranom ISO konfiguracijom.

Što učiniti sljedeće

Ako je potrebno, nastavite s Konfiguriranje čvora za integraciju pro xyja, a zatim nastavite s Registracijom prvog čvora u klaster u.

Postavite i konfigurirajte HDS na Nutanixu

Slijedite dolje navedene postupke za postavljanje HDS-a na Nutanix hipervizoru. Postupak uključuje instaliranje HDS OVA, postavljanje VM-a, postavljanje ISO konfiguracije i provjeru implementacije.

Instalirajte HDS Host OVA na Nutanix

Koristite ovaj postupak za uvoz HDS OVA datoteke u Nutanix.

1	Preuzmite najnoviji HDS OVA.
2	U Prism Central idite na Infrastructure > Compute > OVA.
3	Odaberite Prenesi OVA.
4	Odaberite OVA izvor i odaberite ciljni klaster.
5	Dajte učitanom OVA-u jedinstveno i prepoznatljivo ime. Uključite verziju ili datum prijenosa kako bi ga administratori mogli razlikovati od starijih OVA verzija.
6	Dovršite prijenos.
7	Na popisu OVA provjerite je li format diska prikazan kao VMDK.

Stvorite hibridni VM za sigurnost podataka na Nutanixu

Koristite ovaj postupak za stvaranje HDS virtualnog stroja.

1	U Prism Central idite na Infrastructure > Compute > OVA.
2	Odaberite uspješno prenesenu HDS OVA.
3	Odaberite Postavi kao VM.
4	Unesite jedinstveno, prepoznatljivo ime VM -a i odaberite ciljni klaster.
5	Provjerite je li OVA popunila sljedeća svojstva VM: 4 VCPU-a 8 GB memorije
6	Kliknite Dalje. Otvara se čarobnjak za resur se.
7	U tab lici Resursi > Diskovi provjerite ima li priloženi disk veličine 30 GB.
8	Pričvrstite ispravnu podmrežu ili VLAN pomoću opcije Priključi na podmrežu i postavite stanje mrežne veze na Povezano. Ako čarobnjak sadrži prazan ili zadani mrežni unos koji prikazuje Nije pronađena mreža za VM mre žu, uklonite taj unos. Nevažeći unos može spriječiti nastavak čarobnjaka čak i nakon pričvršćivanja ispravne podmreže.
9	Odaberite UEFI kao BIOS način rada i kliknite Dalje. Otvara se čarobnjak za upravljanje.
10	Ostavite kategorije praznim osim ako organizacija ne zahtijeva kategorije.
11	Odaberite odgovarajuću vremensku zonu.
12	Odaberite Bez prilagodbe na kartici Prilagođavanje gosti ju i kliknite Dalje.
13	Pregledajte postavke i odaberite St vori VM.

Prenesite i montirajte HDS konfiguraciju ISO

1	U Prism Central idite na Infrastructure > Compute > VM-ovi.
2	Odaberite postavljeni HDS VM. Na kartici S až etak odaberite Operacije napajanja > Uključeno. Pričekajte nekoliko minuta da se VM pokrene.
3	Kliknite Pok reni konzolu. Izvršite početnu prijavu pomoću zadanih vjerodajnica. `Korisničko ime: admin` `Lozinka: ciscosystems`
4	Promijenite vjerodajnice administratora kada se to zatraži.
5	Konfigurirajte statičku IP adresu čvora, masku podmreže, pristupnik, DNS i NTP postavke pomoću opcije Uredi konfiguraciju.
6	Isključite HDS VM prije pričvršćivanja ISO-a. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi.
7	Otvorite karticu VM- ovi Diskovi.
8	Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši.
9	Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA
10	Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u.
11	Na kartici S ažetak virtualnog računala odaberite Operacije napajanja > Uključeno i provjerite da nema alarma najmanje 15 minuta.

Što učiniti sljedeće

Ako je potrebno, nastavite s Konfiguriranje čvora za integraciju pro xyja, a zatim nastavite s Registracijom prvog čvora u klaster u.

Migrirajte HDS čvorove između podržanih hipervizora

Koristite ovaj postupak za premještanje HDS čvorova s jednog podržanog hipervizora na drugi. Postojeći HDS virtualni strojevi ne migriraju se izravno između hipervizora. Umjesto toga, postavite zamjenske čvorove na ciljni hipervizor i registrirajte ih s postojećim ili novim HDS klasterom.

Prije nego što počnete

Napravite sigurnosnu kopiju HDS baze podataka i trenutne konfiguracije ISO.
Potvrdite da ciljni hipervizor i virtualni domaćini ispunjavaju zahtjeve za implementaciju HDS-a.
Provjerite je li postojeći HDS klaster zdrav i da preostali čvorovi mogu nastaviti upravljati prometom dok zamjenjujete čvor.
Utvrdite hoće li svaki zamjenski čvor ponovno upotrijebiti IP adresu izvornog čvora i FQDN ili koristiti nove mrežne postavke.
Koristite trenutni konfiguracijski ISO i postojeću HDS bazu podataka za zamjenske čvorove.

Ako se potez mijenja i konfiguracija aktivnog podatkovnog centra, poslužitelja baze podataka ili HDS-a, pogledajte Prom jena konfiguracije čvora i podatkovnog centra u stanju pripravnosti za oporavak od katastrofe prije nastavka.

1	Odaberite jedan HDS čvor na izvornom hipervizoru koji želite zamijeniti. Ostavite sve ostale čvorove pokrenute i registrirane.
2	Pripremite mrežnu konfiguraciju za zamjenski čvor: Ako ponovno koristite IP adresu izvornog čvora i FQDN, isključite izvorni VM i odjavite čvor prije nego što zamjenski čvor dovedete na mrežu. Ako koristite novu IP adresu ili FQDN, ostavite izvorni čvor pokrenut i registriran dok implementirate i provjeravate zamjenski čvor. Nemojte istovremeno pokretati izvorne i zamjenske čvorove ako koriste istu mrežnu konfiguraciju.
3	Stvorite i konfigurirajte zamjenski VM na ciljnom hipervizoru. Upotrijebite najnoviju HDS OVA i slijedite primjenjive postupke implementacije za taj hipervizor.
4	Konfigurirajte mrežne postavke zamjenskog VM-a prema konfiguraciji odabranoj u koraku 2. Slijedite upute za postavljanje ciljnog hipervizora.
5	Priložite trenutni HDS konfiguracijski ISO. Ako vaša implementacija koristi proxy, konfigurirajte proxy i trgovinu povjerenja kako je opisano u odjeljku Konfiguriranje HDS čvora za integraciju proxy ja.
6	Registrirajte zamjenski čvor s postojećim klasterom ili novim klasterom. Pogledajte Stvaranje i registracija više čvorova.
7	Potvrdite je li zamjenski čvor zdrav, povezan s Webex oblakom i upravlja HDS prometom. Riješite sve alarme prije nastavka.
8	Ako izvorni čvor još uvijek radi jer zamjena koristi novu mrežnu konfiguraciju, isključite i odjavite izvorni čvor. Pogledajte Uklanjanje čvora.
9	Ponovite ove korake za svaki preostali čvor na izvornom hipervizoru. Nemojte zamijeniti drugi čvor dok klaster ne bude zdrav.
10	Nakon što su svi zamjenski čvorovi stabilni i vraćanje više nije potrebno, izbrišite izvorne virtualne strojeve iz izvornog hipervizora. Ako privremeno zadržite originalni virtualni stroj, isključite ga i isključite njegovu konfiguraciju ISO.

Što učiniti sljedeće

Nakon registracije zamjenskih čvorova, potvrdite da su zdravi i da instalacija HDS-a upravlja prometom. Ako je implementacija zdrava, uklonite sve izvorne čvorove koji su još uvijek registrirani na izvornom hipervizoru. Ako je primjenjivo, slijedite gore navedene korake da biste zamijenili čvorove u postavci oporavka od katastrofe.

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktop

Podman je besplatan alat za upravljanje spremnicima otvorenog koda koji pruža način pokretanja, upravljanja i stvaranja spremnika. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, preuzmite i pokrenite Podman na tom stroju. Postupak postavljanja zahtijeva vjerodaj nice računa Control Hub s punim administratorskim pravima za vašu organizaciju.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u koraku 5. Ova tablica daje neke moguće varijable okruženja:

Opis	Varijabilna
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP proxy s autentifikacijom	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s autentifikacijom	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Potrebna vam je najnovija kopija ove datoteke kad god izvršite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim pomoću ISO konfigurirate host Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u odjel jku Stvorite konfiguracijski ISO za HDS-ove ili Pro mijenite konfiguraciju čvora da biste stvorili ili promijenili ISO konfiguraciju.

Onemogući agente u oblaku

Cloud agenti (c-agent) su pouzdani Webex servisni računi koji obavljaju operacije na HDS-u putem delegiranog pristupa u ime korisnika radi poboljšanja cjelokupnog korisničkog iskustva. Onemogućavanje Cloud Agents blokira Webex uslugama da pristupe lokalnim HDS ključevima.

Onemogućavanje agenata u oblaku rezultirat će gubitkom značajki kao što su snimke nakon sastanka, transkripti, pregled datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spaces.

Slijedite korake u nastavku da biste onemogućili agente u oblaku za implementaciju HDS-a.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjelj ku Stvorite ISO konfiguraciju za HDS-ove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju se trebaju izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguriranja Syslogd poslužitelja kliknite Napredne postavke.
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku da biste onemogućili agente u oblaku. To će osigurati da agenti u oblaku ne smiju upravljati HDS prometom. `cloudAgentUpdateEnabled: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo onim administratorima Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije.
6	Montirajte konfiguracijsku ISO datoteku: Prije ugradnje nove konfiguracije ISO: Isključite HDS čvor. Provjerite nije li trenutno priložena ISO datoteka. Ako je priložena ISO datoteka, odvojite je prije nastavka. Za implementacije VMware: U VMware vSphere klijentu odaberite HDS virtualni stroj. Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke. Odaberite CD/DVD pogon 1. Odaberite Datastore ISO File, a zatim odaberite novu konfiguracijsku ISO datoteku. Provjerite jesu li odabrani Povezani i Pove ži pri uključivanju. Spremite promjene. Za NFVIS implementacije: Idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika i prenesite novu konfiguracijsku ISO datoteku u spremište slika NFVIS. Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite HDS virtualni stroj. Otvor ite CD-ROM uređaje i provjerite nije li trenutno priložena ISO datoteka. Odaberite Pril ozi, a zatim odaberite novo prenesenu konfiguracijsku ISO datoteku. Dovršite operaciju i provjerite je li priložena nova konfiguracijska ISO datoteka. Za Nutanix implementacije: U Prism Central idite na Infrastructure > Compute > Images. Odaberite Dodaj sliku. U odjeljku Izvor slike odaberite Datote ka slike, a zatim odaberite Dodaj datoteku. Odaberite novu konfiguraciju ISO i provjerite je li Vrsta postavljena na ISO. Dovršite odabir lokacije za ciljni klaster i dovršite prijenos. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi. Otvorite karticu VM- ovi Diskovi. Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši. Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u.
7	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
8	Ponovite postupak za svaki čvor u instalaciji HDS-a. Provjerite jesu li agenti u oblaku onemogućeni provjerom syslogova za sljedeći unos: 'Ažuriranje agenta u oblaku onemogućeno'.

Premjestite postojeću instalaciju HDS-a za jednog stanara partnerske organizacije u Control Hubu u postavku HDS-a s više stanara u Partner Hubu

Pretvorba iz postojeće instalacije HDS-a s jednim stanarom partnerske organizacije kojom se upravlja u Control Hubu u instalaciju HDS-a s više stanara kojom se upravlja u Partner Hubu prvenstveno uključuje deaktiviranje HDS usluge u Control Hubu, deregistraciju čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati kupce u svoj klaster.

Izraz "jednostanar" jednostavno se odnosi na postojeću implementaciju HDS-a u Control Hubu.

Deaktivirajte HDS, odjavite čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Control Hub. Na lijevom oknu kliknite Hibrid. Na kartici Hibrid Data Security kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite De aktiviraj.
3	Nakon deaktivacije kliknite karticu Resursi.
4	Stranica Resursi navodi klastere u vašoj instalaciji HDS-a. Kliknite na klaster, otvara se stranica sa svim čvorovima ispod tog klastera.
5	Kliknite s desne strane i kliknite Odjav ite čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odjave.
7	Kliknite Postavke klastera > U kloni.
8	Kliknite Potvrdi uklanjanje da biste odjavili klaster.
9	Ponovite postupak za sve klastere u instalaciji HDS-a. Nakon deaktivacije HDS-a, deregistracije čvorova i uklanjanja klastera, na dnu će se prikazati kartica Hybrid Data Service na Control Hubu Post avljanje nije dovrš eno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije nego što počnete

Ovdje su primjenjivi svi preduvjeti navedeni u Zahtjevima za hibridnu sigurnost podataka s više stanara. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom premještanja na Multi-Tenant HDS.

1	Prijavite se u Partner Hub. Kliknite U slu ge na lijevom oknu. Koristite isti ISO iz prethodne instalacije HDS-a za konfiguriranje čvorova. Time će se osigurati da poruke i sadržaj koji su generirali korisnici u prethodnoj postojećoj implementaciji HDS-a i dalje budu dostupni u novoj postavci Multi-Tenant.
2	U odjeljku Hibrid pronađite karticu Hybrid Data Security i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje St vori karticu klastera unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da imenujete klaster na temelju mjesta na kojem se geografski nalaze čvorovi klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirano ime domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u programu Postavljanje virtualnog računala za hibridnu sigurnost podataka. Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka preusmjereni ste na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom sigurnosnom čvoru podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom sigurnosnom čvoru podataka, a zatim kliknite Nast avi. Vaš je račun potvrđen, a poruka "Registracija je završena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka novi klaster koji sadrži čvor koji ste registrirali prikazan je na kartici Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Post avke i kliknite Aktiviraj na HDS statusnoj kartici. Aktivirana HDS poruka pojavit će se na dnu zaslona.
9	Kliknite karticu D odijeljeni kup ci.
10	Kliknite Dodaj kupce.
11	Odaberite kupca kojeg želite dodati iz padajućeg izbornika.
12	Kliknite Dodaj, kupac će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više kupaca u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što dodate kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Izradi glavnih ključeva korisnika (CMKs) pomoću alata za postavljanje HDS-a da biste dovršili postupak postavl janja.

Koristite OpenSSL za generiranje datoteke PKCS12

Prije nego što počnete

OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini da se to postigne, a mi ne podržavamo niti promoviramo na jedan način u odnosu na drugi.
Ako ipak odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja zadovoljava zahtjeve X.509 certifikata u zahtjevima X.509 certifikata. Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržano okruženje. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Stvorite privatni ključ.
Pokrenite ovaj postupak kada primite certifikat poslužitelja od vašeg Certificate Authority (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsno` de.pem.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -tekst -nema u hdsnode.pem`
3	Upotrijebite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsno` de-bundle.pem. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate, u donjem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	`Stvorite datoteku.p12 s prijateljskim imenom kms-private-key.` `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -naziv kms-privatni ključ -caname kms-privatni ključ -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 - u hdsnode.p12` Unesite lozinku u upit za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `FriendlyName: kms-privat` e-key. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Što učiniti sljedeće

Vratite se na Dovršite preduvjete za sigurnost hibridnih podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u Izradi konfiguracijski ISO za HDS hostove.

Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada istekne izvor ni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja odlaznih mjernih podataka

Čvorovi za sigurnost hibridnih podataka šalju određene mjerne podatke u Webex oblak. To uključuje mjerne podatke sustava za maksimum gomile, korištenu gomilu, opterećenje CPU-a i broj niti; mjerne podatke o sinkronim i asinkronim nitima; mjerne podatke o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metrike na datastore; i metrike veze za šifriranje. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.

Ulazni promet

Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvorova

Konfigurirajte Squid proxy za hibridnu sigurnost podataka

Websocket se ne može povezati putem Squid Proxyja

Squid proxy serveri koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squid -a da ignoriraju wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali Hybrid Data Security sa sljedećim pravilima dodanim na squid .conf. Ova pravila su podložna promjenama dok razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Deaktivirajte hibridnu sigurnost podataka s više stanara

Tijek zadataka deaktivacije HDS-a s više stanara

Slijedite ove korake da biste potpuno deaktivirali HDS s više stanara.

Prije nego što počnete

Ovaj zadatak bi trebao obavljati samo puni administrator partnera.

1	Uklonite sve kupce iz svih svojih klastera, kao što je spomenuto u odjelj ku Ukloni organizacije stanara.
2	Opozovite CMK-ove svih kupaca, kao što je spomenuto u Povući CMK- ove stanara uklonjenih iz HDS-a. .
3	Uklonite sve čvorove iz svih klastera, kao što je spomenuto u Ukloni čvor.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeća dva načina. Kliknite klaster koji želite izbrisati i odaberite Iz briši ovaj klaster u gornjem desnom kutu stranice s pregledom. Na stranici Resursi kliknite na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici Pregled sigurnosti hibridnih podataka i kliknite Deaktiviraj HDS na kartici statusa HDS-a.

Često postavljana pitanja

Q. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO ili bazi podataka?

A. Glavni ključevi korisnika (CMK-ovi) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO.

P: Koristi li se jedan ključ za šifriranje svih podataka organizacija kupaca?

A. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK (Customer Main Key).

P: Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, odmah će biti pogođene. Postojeći sadržaj u prostorima bit će dostupan sve dok lokalna predmemorija ne istekne. Nakon 24 sata korisnici kojima upravlja partner prebacit će se na Cloud KMS, a mogu se pojaviti problemi s prethodno stvorenim prostorima i prostorima jedan na jedan.

P: Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS, počinju li korisnici organizacije korisnika odmah koristiti HDS s više stanara?

O. Može doći do maksimalnog kašnjenja od 24 sata za osvježavanje predmemorije oblaka.

P: Zašto ne vidim popis kupaca kada kliknem na gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje organizacije za korisnike koje ispunjavaju zahtjeve Cisco Webex za licencu.

P: Kakav je utjecaj ako su svi HDS čvorovi isključeni ili ako mrežni problem utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj dostupan je samo dok lokalna predmemorija ne istekne.

P: Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom izrade ISO?

A. Da. Trenutno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnere, slične CMK-ovima kupaca.

P: Mogu li partnerske organizacije i organizacije stanara biti u različitim regijama (recimo SAD-u i EU)?

A. Da. Partnerske i stanarske organizacije mogu se nalaziti u različitim geografskim regijama.

P: Postoji li mehanizam za pomicanje tipki natrag u Cloud KMS?

O. Ne postoji mehanizam za premještanje tipki natrag u oblak nakon implementacije HDS-a.

P: Može li partner nastaviti koristiti Cloud KMS i koristiti Multi-Tenant HDS isključivo za upravljanje kupcima?

O. Ne, to trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P: Kako partner može provjeriti koristi li njihova organizacija Multi-Tenant HDS za šifriranje?

A. Prijavite se na Partner Hub. Idite na U sluge > Hibridna sigurnost podataka> Post avke. Ako je aktiviran status HDS-a, korisnici partnerske organizacije kao i dodijeljeni kupci koriste HDS s više stanara.

Alternativno, možete provjeriti svoje syslogove kako biste provjerili je li HDS aktiviran. Pogledajte I spitivanje implementacije hibridne sigurnosti podataka.

P: Postoji li alternativa Docker Desktop za pokretanje HDS alata za postavljanje?

A. Da. Pod man Desktop je alternativa otvorenog koda Docker Desktop. Pogledajte Pokren ite alat za postavljanje HDS-a pomoću programa Podman Desktop.

P: Koliko čvorova mogu implementirati u HDS klaster s više stanara?

A. Preporučujemo najmanje dva čvora i najviše 1000 čvora.

P: Koji su mrežni zahtjevi potrebni za postavljanje HDS-a s više stanara?

A. Pogledajte Zah tjevi za vanjsko povezivanje.

P: Je li Pro Pack for Control Hub uvjet za partnerske organizacije?

A. Ne. Pro Pack nije uvjet za partnerske organizacije. Obratite se svom Ciscovom partneru ili upravitelju računa za pomoć pri postavljanju HDS-a s više stanara.

P: Da li je HSM podržan u HDS-u s više stanara?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P: Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

A. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u zahtjevima X.50 9 certifikata.

P: Je li potrebno montirati ISO svaki put kada se novi kupac doda u Partner Hub?

A. Ne. ISO se mora montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika na Partner Hub provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Iz rada glavnih ključeva korisnika (CMK-ova) pomoću alata za postavljanje HDS-a.

P: Nakon što je Multi-Tenant HDS implementiran na Partner Hub, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon aktiviranja HDS-a u Partner Hubu.

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u V odiču za implementaciju za hibridnu sigurnost podataka s više stan ara.

Datum	Promjene napravljene
01. listopada 2026	Dodano Migracija HDS čvorova između podržanih odjeljka hipervizora.
21. rujna 2026	Dodana podrška za Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) hipervizor u zahtjevima virtualnog hosta. Dodana podrška za Nutanix hypervisor u zahtjevima virtu alnog hosta. Dodano postavl janje i konfiguriranje HDS-a na odjeljku NFVIS. Dodano Post avljanje i konfiguriranje HDS-a na odjeljku Nutanix. Ažurirani postupci u cijelom vodiču kako bi uključili upute za implementaciju NFVIS-a i Nutanixa. Premjesti ti podatkovni centar u stanju pripravnosti za oporavak od katastrofe u odjel jku Upravljanje implementacijom HDS-a.
31. kolovoza 2026	Uklonjen je zahtjev za omogućavanje značajke više stanara iz odjeljka Zaht jevi Cisco Webex za licencu.
28. kolovoza 2026	Dodano je kritično upozorenje u Očekivanja za implementaciju hibridne sigurnosti podataka da migracija s Multi-Tenant Hybrid Data Security na Webex cloud KMS nije podržana i da će stavljanje iz pogona HDS-a rezultirati gubitkom pristupa postojećim šifriranim podacima.
30. srpnja 2026	Ažuriran je odjeljak Zahtjevi certifikata X.509 kako bi se odredilo da su podržani samo RSA certifikati.
02. srpnja 2026	Dodan odjeljak Onemogući agente u oblaku.
23. lipnja 2026	Dodan odjeljak Tum ačenje HDS zapisnika i razumijevanje oznaka agenta.
01. lipnja 2026	Dodan odjeljak HDS API-ja za program ere. Dodana je bilješka Pok reni alat za postavljanje HDS pomoću odjeljka Podman Desktop.
16. travnja 2026	Ažurirani zahtjevi poslužitelja baze podataka za dodavanje podrške za PostgreSQL verzije 17 i 18.
25. ožujka 2026	Ažurirana je zadana lozinka koja se koristi za prijavu na VM čvor Hybrid Data Security.
05 prosinca 2025	Až urirano Stvorite konfiguracijski ISO za HDS host ove s ispravnim tekstom korisničkog sučelja na stranici System Logs i dodate uputu za prijenos syslog korijenskog certifikata prilikom konfiguriranja TLS enkripcije.
Novembar 21, 2025	Dodan odjeljak Često postavljana pitanja. Dodano Postavite podatkovni centar u stanju pripravnosti za oporavak od katastrofe i opor avak od katastrofe pomoću odjeljaka Data Center u stanju pripravnosti. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
08 svibnja 2025	Dodano Premjestite postojeću instalaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više stanara u odjeljku Partner Hub. Ažuriran je izlaz syslog radi poboljšanja čitljivosti u odjeljku Test Your Hybrid Data Security Implementation. Až urirani zahtjevi virtualnog ho sta, tijek zadataka implementacije hibridne sigurnosti podataka i instalirajte HDS Host OVA za dodavanje podrške za ESXi 8.0.
Ožujak 04, 2025	Dodan alat Run HDS Setup pomoću odjeljka Podman Desktop. Dodana je bilješka u Docker Desktop Require ments pružajući korisnicima alternativnu opciju otvorenog koda. A žurirano Stvorite konfiguracijski ISO za HDS hostove i promijenite konfiguraciju čvora s uputama za korištenje Podman Desktop za korisnike bez licence Docker Desktop.
30. siječnja 2025	Dodana je verzija SQL poslužitelja 2022 na popis podržanih SQL poslužitelja u zahtjevima poslužitelja baze podataka.
15. siječnja 2025	Dodana ograničenja sigurnosti hibridnih podataka s više stanara.
08. siječnja 2025	Dodana je bilješka u Izvr šite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik Postavi na HDS kartici u Partner Hubu važan korak postupka instalacije.
07. siječnja 2025	Až urirani zahtjevi virtualnog ho sta, tijek zadataka implementacije hibridne sigurnosti podataka i instalirajte HDS Host OVA kako biste prikazali novi zahtjev ESXi 7.0.
13. prosinca 2024	Prvo objavljeno.

Započnite s hibridnom sigurnošću podataka s više stanara

Pregled sigurnosti hibridnih podataka s više stanara

Od prvog dana sigurnost podataka bila je primarni fokus u dizajniranju Webex aplikacije. Kamen temeljac ove sigurnosti je end-to-end enkripcija sadržaja, omogućena klijentima Webex aplikacije u interakciji s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u oblaku KMS, u Ciscovom sigurnosnom području. Hybrid Data Security prebacuje KMS i druge sigurnosne funkcije u vaš poslovni podatkovni centar, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Multi-Tenant Hybrid Data Security omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera, koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere po potrebi. Svaka instanca može podržati više organizacija kupaca za razliku od uobičajene instalacije HDS-a koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju kupci. Ovaj pristup je ograničen na organizacije kupaca i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako Multi-Tenant Hybrid Data Security pruža suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput davatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Opcija za lokalnu tehničku podršku, ako je pružila partner.
Podržava sadržaj sastanaka, razmjene poruka i poziva.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama da uspostave i upravljaju kupcima u okviru hibridnog sustava zaštite podataka s više stanara.

Ograničenja sigurnosti hibridnih podataka s više stanara

Partnerske organizacije ne smiju imati aktivnu postojeću implementaciju HDS-a u Control Hubu.
Stanari ili organizacije kupaca kojima želi upravljati partner ne smiju imati postojeću instalaciju HDS-a u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici organizacija kupaca kao i korisnici partnerske organizacije počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i organizacije kupaca kojima upravljaju bit će na istoj implementaciji HDS-a s više stanara.

Partnerska organizacija više neće koristiti KMS u oblaku nakon što se implementira Multi-Tenant HDS.
Ne postoji mehanizam za premještanje tipki natrag u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; za detalje pogledajte odjeljak u nastavku.

Uloge u sigurnosti hibridnih podataka s više stanara

Partner puni administrator - Može upravljati postavkama za sve kupce kojima partner upravlja. Također može dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti određene kupce kojima upravljaju partnerski administratori.
Administrator partnera - može upravljati postavkama za korisnike koje je administrator dodijelio ili koji su dodijeljeni korisniku.
Potpuni administrator - Administrator partnerske organizacije koji je ovlašćen za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje HDS-a od kraja do kraja Multi-Tenant i upravljanje svim korisničkim organizacijama - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim stanarskim organiz acijama - Zahtijeva se partnerski administrator i puna administratorska prava.

Arhitektura sigurnosnog područja

Webex arhitektura oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kao što je prikazano u nastavku.

Da bismo bolje razumjeli sigurnost hibridnih podataka, prvo pogledajmo ovaj čisti slučaj oblaka, gdje Cisco pruža sve funkcije u svojim područjima oblaka. Usluga identiteta, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima kao što je adresa e-pošte, logično je i fizički odvojeno od sigurnosnog područja u podatkovnom centru B. Oba su zauzvrat odvojena od područja gdje se šifrirani sadržaj konačno pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je Webex aplikacija koja se pokreće na korisničkom prijenosnom računalu i potvrdio je autentičnost s uslugom identiteta. Kada korisnik sastavi poruku koju treba poslati u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja koja stvara šifrirane indekse pretraživanja kako bi pomogao u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate Hybrid Data Security, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premjestite u lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući identitet i pohranu sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex App za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu preko ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak preko zasebnog ECDH kanala kako bi dobio ključ iz odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja radi na Org A provjerava veze s KMS-ovima u drugim organizacijama koristeći x.509 PKI certifikate. U od jeljku Priprema okru ženja za detalje o generiranju x.509 certifikata koji će se koristiti s implementacijom Multi-Tenant Hybrid Data Security.

Očekivanja za implementaciju hibridne sigurnosti podataka

Uvođenje hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Da biste implementirali Hybrid Data Security, morate navesti:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teamsplanove.
Oprema, softver i pristup mreži opisani u odjeljku Pripremite svoje okruženje.

Potpuni gubitak ISO konfiguracije koji ste izgradili za Hybrid Data Security ili baze podataka koju pružate rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izgraditi novu implementaciju, ali bit će vidljiv samo novi sadržaj. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i konfiguracijom ISO.
Budite spremni izvršiti brzi oporavak od katastrofe ako dođe do katastrofe, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Migracija s Multi-Tenant Hybrid Data Security (HDS) na Webex cloud KMS nije podržana. Isključivanje HDS-a rezultirat će gubitkom pristupa sadržaju i podacima prethodno šifriranim tim ključevima. Morate zadržati HDS da biste sačuvali pristup postojećem šifriranom sadržaju.

Postupak postavljanja na visokoj razini

Ovaj dokument obuhvaća postavljanje i upravljanje implementacijom hibridne sigurnosti podataka s više stanara:

Postavljanje hibridne sigurnosti podataka — To uključuje pripremu potrebne infrastrukture i instaliranje softvera Hybrid Data Security, izgradnju HDS klastera, dodavanje organizacija stanara u klaster i upravljanje njihovim glavnim ključevima korisnika (CMC). To će omogućiti svim korisnicima vaših korisničkih organizacija da koriste vaš klaster Hybrid Data Security za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte implementaciju hibridne sigurnosti podataka — Webex oblak automatski pruža stalne nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovu implementaciju i po potrebi uključiti Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja temeljena na e-pošti u Partner Hubu.
Raz@@ umijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznati h problema — Ako naiđete na probleme s implementacijom ili korištenjem Hibridne sigurnosti podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar poslovnog podatkovnog centra implementirate Hybrid Data Security kao jednu skupinu čvorova na zasebnim virtualnim domaćinima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS možete stvoriti prilagođenu ISO datoteku konfiguracije klastera koju montirate na svaki čvor. Klaster Hybrid Data Security koristi vaš Syslogd poslužitelj i PostgreSQL ili Microsoft SQL Server bazu podataka. (Konfigurirate Syslogd i detalje veze baze podataka u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Imati više čvorova osigurava da usluga ne bude prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom datastoru i bilježe aktivnost na istom syslog poslužitelju. Sami čvorovi su bez državljanstva i obrađuju ključne zahtjeve na okrugli način, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor uklonili iz usluge, možete ga odjaviti, a kasnije ga ponovno registrirati ako je potrebno.

Podrška za proxy

Hibridna sigurnost podataka podržava eksplicitne, transparentne inspekcijske i neinspekcijske proxy. Te proxy servere možete povezati sa svojom implementacijom kako biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti administratorsko sučelje platforme na čvorovima za upravljanje certifikatima i za provjeru ukupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi Hybrid Data Security podržavaju sljedeće opcije proxy:

Nema proxy ja — zadano ako za integraciju proxyja ne koristite konfiguraciju Trust Store & Proxy postavke HDS čvora. Nije potrebno ažuriranje certifikata.
Transparentni proxy koji ne provjerava —Čvorovi nisu konfigurirani da koriste određenu adresu proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata.
Transparentno tuneliranje ili provjera proxyja —Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene konfiguracije HTTP ili HTTPS. Međutim, čvorovima je potreban korijenski certifikat tako da vjeruju proxyju. IT obično koristi inspekcijske proxy za provođenje pravila o kojima se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy — S eksplicitnim proxyjem HDS čvorovima kažete koji proxy poslužitelj i shemu provjere autentičnosti koristiti. Da biste konfigurirali eksplicitni proxy, morate unijeti sljedeće podatke na svaki čvor:
1. Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port — broj porta koji proxy koristi za slušanje proxy-proksiranog prometa.
3. Proxy protokol — Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP—pregledava i kontrolira sve zahtjeve koje klijent šalje.
  - Https — pruža kanal poslužitelju. Klijent prima i potvrđuje certifikat poslužitelja.
4. Vrsta provjere auten tičnosti — Odaberite između sljedećih vrsta provjere autentičnosti:
  - Nema —Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
  - Osnovno — koristi se za HTTP korisničkog agenta za davanje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako odaberete HTTP ili HTTPS kao proxy protokol.
    
    Zahtijeva da unesete korisničko ime i lozinku na svaki čvor.
  - Digest — Koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako odaberete HTTPS kao proxy protokol.
    
    Zahtijeva da unesete korisničko ime i lozinku na svaki čvor.

Primjer hibridnih sigurnosnih čvorova podataka i proxyja

Ovaj dijagram prikazuje primjer veze između Hybrid Data Security, mreže i proxyja. Za opcije transparentnog pregleda i HTTPS eksplicitnog pregleda proxyja, isti korijenski certifikat mora biti instaliran na proxy serveru i na čvorove Hybrid Data Security.

Blokirani način vanjske rezolucije DNS-a (eksplicitne konfiguracije proxyja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS pretraživanje i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy koje ne dopuštaju vanjsku razlučivost DNS-a za interne klijente, ako čvor ne može upitati DNS poslužitelje, automatski prelazi u način blokirane vanjske DNS rezolucije. U ovom načinu rada mogu se nastaviti registracija čvorova i drugi testovi povezivanja proxy.

Pripremite svoje okruženje

Zahtjevi za hibridnu sigurnost podataka s više stanara

Cisco WebexZahtjevi za licencu

Da biste implementirali hibridnu sigurnost podataka s više stanara:

Organizacije stanara: Morate imati Pro Pack zaCisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi za Docker Desktop

Prije instaliranja HDS čvorova potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša organizacija može zahtijevati plaćenu pretplatu za Docker Desktop. Za detal je pogledajte post na blogu Docker, "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez licence Docker Desktop mogu koristiti alat za upravljanje spremnicima otvorenog koda poput Podman Desktop za pokretanje, upravljanje i stvaranje spremnika. Detalje potra žite u odjeljku Pokreni alat za postavljanje HDS-a pomoću programa Podman Desktop.

Zahtjevi za certifikat X.509

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za certifikat X.509 za implementaciju hibridne sigurnosti podataka
Zahtjev	Detalji
Potpisan od strane pouzdan Certificate Authority og (CA)	Prema zadanim postavkama vjerujemo CA-ima na popisu Mozilla (s izuzetkom WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hibrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan ili živi domaćin. Preporučujemo da koristite ime koje odražava vašu organizaciju, na primjer, `hds.` company.com. CN ne smije sadržavati znak* (zamjenski znak). CN se koristi za provjeru čvorova za hibridnu sigurnost podataka klijentima Webex aplikacije. Svi čvorovi Hybrid Data Security u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene koja je definirana u x.509v3 SAN poljima. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru veza s KMS-ovima drugih organizacija.
Formatirana kao PKCS #12 datoteka zaštićena lozinkom Upotrijebite prijateljski naziv `kms-private-key za označavanje` certifikata, privatnog ključa i svih srednjih certifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete HDS alat za postavljanje.
Podržani algoritam	Podržani su samo RSA certifikati.

KMS softver ne provodi upotrebu ključeva ili proširena ograničenja korištenja ključeva. Neki autoriti certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je provjera autentičnosti poslužitelja. U redu je koristiti provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi za virtualni domaćin

Virtualni domaćini koje ćete postaviti kao hibridne sigurnosne čvorove podataka u vašem klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena domaćina (preporučena 3) smještena u istom sigurnom podatkovnom centru
Podržani hipervizori:
- VMware ESXi 7.0 ili 8.0.
- Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) verzija 26.2.1.
- Nutanix AOS 7.5.x s Nutanix AHV 11.0.x.
Minimalno 4 VCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju.

Zahtjevi poslužitelja baze podataka

Stvorite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2. Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15, 16, 17 ili 18, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017., 2019 ili 2022. (Enterprise ili Standard). SQL Server 2016 zahtijeva servisni paket 2 i kumulativno ažuriranje 2 ili novije verzije.
Minimalno 8 VCPU-a, glavna memorija od 16 GB, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite dugo pokretati bazu podataka bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 VCPU-a, glavna memorija od 16 GB, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite dugo pokretati bazu podataka bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

Upravljački programi za SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On (Always On Failover Cluster Instances i Always On dostupnosti grupe).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows protiv Microsoft SQL Servera

Ako želite da HDS čvorovi koriste provjeru autentičnosti sustava Windows kako bi dobili pristup vašoj bazi podataka za pohranu ključeva na Microsoft SQL Serveru, potrebna vam je sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, Active Directory infrastruktura i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružate HDS čvorovima mora imati pristup čitanju/pisanju baze podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u stanju riješiti vaš centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na Microsoft SQL poslužitelju kao naziv glavnog servisa (SPN) na vašem. Active Directory Pogledajte Registriranje glavnog naziva usluge za Kerberos veze.

Alat za postavljanje HDS-a, HDS pokretač i lokalni KMS moraju koristiti provjeru autentičnosti sustava Windows za pristup bazi podataka ključeva. Oni koriste pojedinosti iz vaše ISO konfiguracije za izradu SPN-a kada traže pristup pomoću Kerberos autentičnosti.

Zahtjevi za vanjsko povezivanje

Konfigurirajte vatrozid kako biste omogućili sljedeću povezanost za HDS aplikacije:

Aplikacija	Protokol	Luka	Smjer iz aplikacije	Destinacija
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi domaćini zajedničkog identiteta Ostali URL-ovi koji su navedeni za Hibridna sigurnost podataka u tablici Dodatni URL-ovi za Webex Hybrid Services mrež ni zahtjevi za Webex usluge
HDS alat za postavljanje	TCP	443	Odlazni HTTPS	*.wbx2.com Svi domaćini zajedničkog identiteta hub.docker.com

Čvorovi Hybrid Data Security rade s prijevodom mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopušta potrebne odlazne veze s odredištima domene u prethodnoj tablici. Za veze koje dolaze na čvorove Hybrid Data Security, nijedan priključak ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22, u administrativne svrhe.

URL-ovi za domaćine zajedničkog identiteta (CI) specifični su za regiju. Ovo su trenutni CI domaćini:

Regija	Uobičajeni URL-ovi domaćina identiteta
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Zahtjevi proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim Hybrid Data Security čvorovima.
- Transparentni proxy — Cisco Web Security Appliance (WSA).
- Eksplicitni proxy—lignje.
  
  Squid proxy serveri koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Da biste riješili ovaj problem, pogledajte Konfiguriranje Squid proxija za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne proxy servere:
- Nema provjere autentičnosti pomoću HTTP ili HTTPS-a
- Osnovna provjera autentičnosti pomoću HTTP ili HTTPS-a
- Pregledajte provjeru autentičnosti samo s HTTPS-om
Za transparentni proxy za provjeru ili HTTPS eksplicitni proxy, morate imati kopiju korijenskog certifikata proxyja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u skladišta povjerenja čvorova Hybrid Data Security.
Mreža koja ugošćuje HDS čvorove mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 da se usmjerava kroz proxy.
Proksiji koji pregledavaju web promet mogu ometati veze s web utičnicama. Ako se ovaj problem dogodi, zaobilaženje (ne pregledavanje) prometa na wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog popisa provjerite jeste li spremni instalirati i konfigurirati klaster Hybrid Data Security.

1	Pobrinite se da vaša organizacija nema omogućen HDS u Control Hubu i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Pobrinite se da je vaša Webex korisnička organizacija omogućena za Pro Pack za. Cisco Webex Control Hub Obratite se svom Ciscovom partneru ili upravitelju računa za pomoć u vezi s tim postupkom. Organizacije kupaca ne bi trebale imati postojeću implementaciju HDS-a.
2	Odaberite naziv domene za implementaciju HDS-a (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 zahtjevima certifikata.
3	Pripremite identične virtualne hostove koje ćete postaviti kao čvorove za hibridnu sigurnost podataka u svom klasteru. Potrebna su vam najmanje dva odvojena domaćina (preporučena 3) smještena u istom sigurnom podatkovnom centru, koji zadovoljavaju zahtjeve u zahtjevima virtualnog hosta.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu sa zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim domaćinima. Stvorite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka — nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: ime hosta ili IP adresa (host) i priključak naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje sigurnosne kopije odražava proizvodno okruženje VM-ova i poslužitelja sigurnosne baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje trebalo bi imati 3 VM-a.
6	Postavite syslog host za prikupljanje zapisnika iz čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Stvorite sigurnu sigurnu sigurnosnu kopiju čvorova za sigurnosne čvorove hibridnih podataka, poslužitelj baze podataka i host syslog. U najmanju ruku, kako biste spriječili nepovratni gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da čvorovi Hybrid Data Security pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, ako se ne održi operativna implementacija, rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije predmemoriraju svoje ključeve, tako da nestanak možda neće biti odmah uočljiv, ali će s vremenom postati očit. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim korisničkim podacima. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i konfiguracijske ISO datoteke te biti spremni obnoviti podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Pobrinite se da konfiguracija vatrozida omogućuje povezivanje vaših čvorova za hibridnu sigurnost podataka kako je navedeno u Zaht jevima za vanjsko povezivanje.
9	Instalirajte Docker (https://www.docker.com) na bilo koji lokalni uređaj koji koristi podržani OS (Microsoft Windows10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Koristite Docker instancu za preuzimanje i pokretanje HDS-ovog alata za postavljanje, koji izgrađ uje informacije o lokalnoj konfiguraciji za sve čvorove Hybrid Data Security. Možda će vam trebati licenca Docker Desktop. Za više informacija pogledajte Zahtjevi za radnu površinu Docker. Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezanost navedenu u Zahtjevi za vanjsko povezivanje.
10	Ako integrirate proxy s hibridnom sigurnošću podataka, provjerite ispunjava li zahtjeve proxy poslužitelja.

Postavljanje klastera za hibridnu sigurnost podataka

Tijek zadataka implementacije hibridne sigurnosti podataka

Prije nego što počnete

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalni stroj za kasniju upotrebu.
2	Stvorite konfiguracijski ISO za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Napravite virtualni stroj iz OVA datoteke i izvršite početnu konfiguraciju, kao što su mrežne postavke. Konfiguriranje mrežnih postavki tijekom implementacije OVA podržano je samo na ESXi 7.0 i 8.0. Za implementacije NFVIS-a pogledajte Instaliranje HDS Host OVA na NFVIS. Za implementacije Nutanixa pogledajte Instaliranje HDS Host OVA na Nutanix
4	Postavljanje virtualnog računala za hibridnu sigurnost podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfiguri rajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA. Za implementacije NFVIS-a pogledajte Postavljanje virtualnog računala za hibridnu sigurnost podataka na NFVIS-u. Za implementacije Nutanixa pogledajte Izrada virtualnog računala za hibridnu sigurnost podataka na Nutanixu
5	Prenesite i montirajte HDS konfiguraciju ISO Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću HDS alata za postavljanje. Za implementacije NFVIS-a pogledajte Učitavanje i montiranje HDS-a za konfiguraciju ISO. Za implementacije Nutanixa pogledajte Učitavanje i montiranje HDS-a za konfiguraciju ISO
6	Konfigurirajte HDS čvor za integraciju proxyja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koji ćete koristiti za čvor i dodajte proxy certifikat u trgovinu povjerenja ako je potrebno.
7	Registrirajte prvi čvor u klasteru Registrirajte VM s ob Cisco Webex lakom kao čvor za hibridnu sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS s više stanara na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama stanara na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoj računar (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite U sluge.
2	U odjeljku Hibrid pronađite karticu Hybrid Data Security, a zatim kliknite Postavi. Klikom na Postavi u Partnerskom čvorištu ključan je za postupak implementacije. Nemojte nastaviti s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmite datoteku.OVA na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Security. To može rezultirati problemima tijekom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA također možete preuzeti u bilo koje vrijeme iz odjeljka Pomo ć. Kliknite Postavke > Pomoć > Preuzmite softver za zaštitu hibridnih podataka. OVA datoteka automatski počinje pre uzeti. Spremite datoteku na mjesto na vašem račun alu.

Stvorite konfiguracijski ISO za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim pomoću ISO konfigurirate host Hybrid Data Security.

Prije nego što počnete

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima.

Ako nemate licencu Docker Desktop, možete koristiti Podman Desktop za pokretanje HDS-ovog alata za postavljanje za korake od 1 do 5 u donjem postupku. Detalje potra žite u odjeljku Pokreni alat za postavljanje HDS-a pomoću programa Podman Desktop.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u koraku 5 ispod. Ova tablica daje neke moguće varijable okruženja:

Opis

Varijabilna

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT

HTTP proxy s autentifikacijom

GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s autentifikacijom

GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Potrebna vam je najnovija kopija ove datoteke kad god izvršite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje:

U redovnim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U okruženjima FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne slike alata za postavljanje HDS-a. Ako nema prethodnih slika, vraća se pogreška koju možete zanemariti.

2

Da biste se prijavili u Docker registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

U upit za lozinku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovnim okruženjima:

docker pull ciscocitg/hds-setup:stable

U okruženjima FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za vaše okruženje:

U redovnim okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U okruženjima FedRAMP bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U okruženjima FedRAMP s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U okruženjima FedRAMP s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kada je spremnik pokrenut, vidjet ćete "Ekspresno poslužitelj sluša na priključku 8080."

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika idite na localhost, http://127.0.0.1:8080 i unesite administratorsko korisničko ime za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Tada alat prikazuje standardni upit za prijavu.

7

Kada se od vas zatraži, unesite vjerodajnice za prijavu administratora centra Partner Hub, a zatim kliknite Pri java da biste omogućili pristup potrebnim uslugama za sigurnost hibridnih podataka.

8

Na stranici Pregled alata za postavljanje kliknite Započnite.

9

Na stranici ISO uvoz imate sljedeće opcije:

Ne —Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da —Ako ste već stvorili HDS čvorove, odaberite ISO datoteku u pregledavanju i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u zahtjevima X.50 9 certifikata.

Ako nikada prije niste učitali certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO? . Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS da biste pristupili vašem ključnom datastoru:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dob it ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server) Odaberite vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: potreban vam je lokalni naziv računa SQL Server u polju Korisničko ime.
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu korisničko ime @DOMAIN u polju Korisničko ime.
Unesite adresu poslužitelja baze podataka u obraz ac: <hostname><port>ili: <IP-address><port>.

Primjer:
dbhost.example.org:1433 ili 198.51.100. 17:1433

Možete koristiti IP adresu za osnovnu provjeru autentičnosti ako čvorovi ne mogu koristiti DNS za rješavanje imena hosta.

Ako koristite provjeru autentičnosti sustava Windows, morate unijeti potpuno kvalificirano ime domene u formatu db host.example.org:1433
Unesite naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferirajte TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevajte TLS	HDS čvorovi se povezuju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i provjerite potpisnika certifikata	Ovaj način rada nije primjenjiv za baze podataka SQL Server. HDS čvorovi se povezuju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika da biste prenijeli korijenski certifikat za ovu opciju.
Zahtijevajte TLS i provjerite potpisnika certifikata i ime hosta	HDS čvorovi se povezuju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju odgovara li ime hosta u certifikatu poslužitelja s nazivom hosta u polju Database host i port. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika da biste prenijeli korijenski certifikat za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nast avi, HDS alat za postavljanje testira TLS vezu s poslužiteljem baze podataka. Alat također provjerava potpisnika certifikata i ime hosta, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati hoćete li zanemariti pogrešku i nastaviti s postavljanjem. (Zbog razlika u povezivanju, HDS čvorovi mogu uspostaviti TLS vezu čak i ako je stroj HDS Setup Tool ne može uspješno testirati.)

13

Na stranici System Logs konfigurirajte svoj Syslogd poslužitelj:

Unesite URL poslužitelja syslog.

Ako poslužitelj ne može riješiti DNS iz čvorova vašeg HDS klastera, upotrijebite IP adresu u URL-u.

Primjer:
udp: //10.92.43. 23:514 označava prijavu na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovaranje/rukovanje? .

Ako potvrdite ovaj potvrdni okvir, unesite TCP URL kao što je tcp: //10.92.43. 23:514 i prenesite korijenski certifikat syslog.
Na padajućem izborniku Odaberi završetak zapisa syslog odaberite odgovarajuću postavku za vašu ISO datoteku: Odaberite ili Newline koristi se za Graylog i Rsyslog TCP
- Nulti bajt --\ x00
- Nova linija --\ n —Odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite Nastavi.

14

(Opcionalno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nast avi na zaslonu Reset Service Accounts Password (Reset Service Accounts Password).

Lozinke servisnog računa imaju životni vijek od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Čuvajte sigurnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo onim administratorima Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije.

18

Da biste isključili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju konfiguracijske ISO datoteke. Potreban vam je za stvaranje više čvorova za oporavak ili za izmjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz baze podataka PostgreSQL ili Microsoft SQL Server nije moguć.

Nikad nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Koristite ovaj postupak za stvaranje virtualnog stroja iz OVA datoteke.

Ako instalirate HDS na NFVIS hipervizoru, pogledajte odjeljak Instaliranje HDS hosta OVA na NFVIS.

Ako instalirate HDS na Nutanixovom hipervizoru, pogledajte odjeljak Instalirajte HDS Host OVA na Nutanix.

1	Upotrijebite VMware vSphere klijent na računalu da biste se prijavili na virtualni host ESXi.
2	Odaberite Dat oteka > Im plementirajte OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberi ime i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_NODE_1"), odaberite mjesto na kojem se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odabir resursa za računanje odaberite odredišni resurs za izračunavanje, a zatim kliknite Dalje. Izvodi se provjera provjere valjanosti. Nakon završetka pojavljuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odab eri pohranu kliknite Dal je da biste prihvatili zadani format diska i pravilo za pohranu VM računala.
9	Na stranici Odaberi mreže odaberite opciju mreže s popisa unosa kako biste osigurali željenu povezanost s VM-om.
10	Na stranici Prilagodi predlož ak konfigurirajte sljedeće mrežne postavke: Naziv ho sta —Unesite FQDN (ime hosta i domena) ili ime hosta s jednom riječju za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Da biste osigurali uspješnu registraciju u oblak, koristite samo mala slova u FQDN-u ili nazivu hosta koje ste postavili za čvor. Kapitalizacija trenutno nije podržana. Ukupna duljina FQDN ne smije biti veća od 64 znaka. IP adresa - Unesite IP adresu za unutarnje sučelje čvora. Vaš čvor bi trebao imati internu IP adresu i DNS ime. DHCP nije podržan. Maska —Unesite adresu maske podmreže u točkasto decimalnu notaciju. Na primjer, 255.255.255.0. Gateway —Unesite IP adresu pristupnika. Gateway je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji — Unesite popis DNS poslužitelja koji se bave prevođenjem imena domena na numeričke IP adrese odvojeni zarezima. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji — Unesite NTP poslužitelj vaše organizacije ili drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za ulazak u više NTP poslužitelja. Postavite sve čvorove na istoj podmreži ili VLAN-u, tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u odjeljku Postavljanje hibridne sigurnosne virtualne mreže podataka da biste konfigurirali postavke s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvor, a zatim odaberite Nap ajanje > Uključeno. Softver Hybrid Data Security instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se na konzolu i konfigurirati čvor. Savjeti za rješavanje problema Možda ćete osjetiti kašnjenje od nekoliko minuta prije nego što se pojave spremnici čvora. Tijekom prvog pokretanja na konzoli se pojavljuje poruka vatrozida mosta tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog računala za hibridnu sigurnost podataka

Pomoću ovog postupka se prvi put prijavite na VM konzolu čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA.

Ako instalirate HDS na NFVIS hipervizoru, pogledajte odjeljak Postavljanje hibridnog sigurnosnog virtualnog računala podataka na NFVIS-u.

Ako instalirate HDS na Nutanixovom hipervizoru, pogledajte odjeljak Stvaranje hibridnog sigurnosnog virtualnog računala podataka na Nutanixu.

1	U VMware vSphere klijentu odaberite VM čvora Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikazuje, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku za prijavu i promjenu vjerodajnica: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u programu Install HDS Host OVA, preskočite ostatak ovog postupka. Inače, u glavnom izborniku odaberite opciju U redi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor bi trebao imati internu IP adresu i DNS ime. DHCP nije podržan.
5	(Neobavezno) Promijenite ime hosta, domenu ili NTP poslužitelje, ako je potrebno kako bi odgovarali mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM tako da promjene stupe na snagu.

Prenesite i montirajte HDS konfiguraciju ISO

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću HDS alata za postavljanje.

Ako instalirate HDS na NFVIS hipervizoru, pogledajte odjeljak Učitavanje i montiranje ISO konfiguracije HDS-a.

Ako instalirate HDS na Nutanixovom hipervizoru, pogledajte odjeljak Učitavanje i montiranje ISO konfiguracije HDS-a.

Prije nego što počnete

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na osnovi "potrebe za znati", za pristup od strane VM-ova Hybrid Data Security i svih administratora koji bi mogli trebati izvršiti promjene. Pobrinite se da samo ti administratori mogu pristupiti datastoreu.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite ESXi poslužitelj.
Na popisu Hardver na kartici Konfiguracija kliknite Po hrana.
Na popisu Datastores desnom tipkom miša kliknite datoteku podataka za vaše virtualne računare i kliknite Pregledaj Datastore.
Kliknite ikonu Učitaj datoteke, a zatim kliknite Učit aj datoteku.
Pregledajte mjesto gdje ste preuzeli ISO datoteku na računalo i kliknite Otvor i.
Kliknite Da da biste prihvatili upozorenje o operaciji prijenosa/preuzimanja i zatvorite dijaloški okvir podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu da biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje iz datastore ISO datoteke i pregledajte mjesto na koje ste prenijeli konfiguracijsku ISO datoteku.
Provjerite Po vez ano i Poveži pri uključenom napajanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika zahtijeva, možete po želji demontirati ISO datoteku nakon što svi vaši čvorovi preuzmu promjene konfiguracije. Pogledajte (Opcionalno) Poništavanje ISO nakon konfiguracije HDS-a za detalje.

Konfigurirajte HDS čvor za integraciju proxyja

Ako mrežno okruženje zahtijeva proxy, upotrijebite ovaj postupak da odredite vrstu proxyja koji želite integrirati s Hybrid Data Security. Ako odaberete transparentni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu s sučelja i riješiti sve potencijalne probleme.

Prije nego što počnete

Pregled podrž anih opcija proxyja potražite u odjeljku Podrška za proxy.
Zahtjevi proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS IP čvora ili FQDN] /setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Trust Store & Proxy, a zatim odaberite opciju: Nema proxy ja —Zadana opcija prije integracije proxyja. Nije potrebno ažuriranje certifikata. Transparentni proxy koji ne provjerava —Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Nije potrebno ažuriranje certifikata. Transparentni proxyjev za provjeru — Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Za implementaciju Hybrid Data Security nisu potrebne promjene konfiguracije HTTPS-a, međutim, HDS čvorovima je potreban korijenski certifikat kako bi vjerovali proxyju. IT obično koristi inspekcijske proxy za provođenje pravila o kojima se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxyja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy — S eksplicitnim proxyjem klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta provjere autentičnosti. Nakon što odaberete ovu opciju, morate unijeti sljedeće podatke: Proxy IP/FQDN —Adresa koja se može koristiti za pristup proxy računalu. Proxy port — broj porta koji proxy koristi za slušanje proxy-proksiranog prometa. Proxy protokol —Odaberite http (pregledava i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite opciju na temelju onoga što vaš proxy poslužitelj podržava. Vrsta provjere auten tičnosti — Odaberite između sljedećih vrsta provjere autentičnosti: Nema —Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS proxy. Osnovno — koristi se za HTTP korisničkog agenta za davanje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS proxy. Ako odaberete ovu opciju, morate unijeti i korisničko ime i lozinku. Digest — Koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje hash funkciju na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS proxy servere. Ako odaberete ovu opciju, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za inspekciju, HTTP eksplicitni proxy s osnovnom autentifikacijom ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili Potvrda završnog enti teta, a zatim idite do odabira korijenskog certifikata za proxy. Certifikat je učitan, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona prema nazivu izdavatelja certifikata da biste dobili više detalja ili kliknite Izbri ši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri vezu proxy ja da biste testirali mrežnu povezanost između čvora i proxyja. Ako test veze ne uspije, vidjet ćete poruku o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vidite poruku da vanjska rezolucija DNS-a nije bila uspješna, čvor nije mogao doći do DNS poslužitelja. Ovo se stanje očekuje u mnogim eksplicitnim proxy konfiguracijama. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu blokirane vanjske DNS rezolucije. Ako mislite da je riječ o pogrešci, dovršite ove korake, a zatim pogledajte Isključivanje blokiranog vanjskog načina razlučivanja DNS- a.
5	Nakon što test veze prođe, za eksplicitni proxy postavljen samo na https, uključite prekidač na Usmjerite sve zahtjeve porta 443/444 https s ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u Trgovinu pov jerenja (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovo pokrenite (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Inst aliraj ako ste spremni. Čvor se ponovno pokreće u roku od nekoliko minuta.
7	Nakon ponovnog pokretanja čvora, ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled kako biste provjerili provjere povezanosti kako biste bili sigurni da su svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest problem je taj što su neke od domena oblaka navedenih u uputama za instalaciju blokirane na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavi Hibrid Data Security VM, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, kreirate klaster kojem je dodijeljen čvor. Klaster sadrži jedan ili više čvorova koji su raspoređeni za pružanje redundancije.

Prije nego što počnete

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li blokatori skočnih prozora u vašem pregledniku onemogućeni ili da dopustite iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite karticu Hybrid Data Security i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje St vori novu karticu klastera unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da imenujete klaster na temelju mjesta na kojem se geografski nalaze čvorovi klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirano ime domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u programu Postavljanje virtualnog računala za hibridnu sigurnost podataka. Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka preusmjereni ste na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom sigurnosnom čvoru podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom sigurnosnom čvoru podataka, a zatim kliknite Nast avi. Vaš je račun potvrđen, a poruka "Registracija je završena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Partner Hub Hybrid Data Security. Na stranici Hibridna sigurnost podataka novi klaster koji sadrži čvor koji ste registrirali prikazan je na kartici Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno stvorite dodatne VM-ove i montirajte istu konfiguracijsku ISO datoteku, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije nego što počnete

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate početi ispočetka.
Provjerite jesu li blokatori skočnih prozora u vašem pregledniku onemogućeni ili da dopustite iznimku za admin.webex.com.

1	Stvorite novi virtualni stroj iz OVA, ponavljajući korake u odjeljku Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom VM-u, ponavljajući korake u odjeljku Post avljanje hibridne sigurnosne virtualne mreže podataka.
3	Na novom VM-u ponovite korake u Uplo ad i montirajte HDS konfiguracijski ISO.
4	Ako postavljate proxy za implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju pro xyja prema potrebi za novi čvor.
5	Registrirajte čvor. Na https://admin.webex.com odaberite Uslu ge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Hybrid Data Security i kliknite Prikaži sve. Pojavljuje se stranica Hibridni sigurnosni resursi podataka. Novonastvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster da biste vidjeli čvorove dodijeljene klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirano ime domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom koja pokazuje da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjereni ste na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom sigurnosnom čvoru podataka. Tamo potvrđujete da želite dati dozvole svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom sigurnosnom čvoru podataka, a zatim kliknite Nast avi. Vaš je račun potvrđen, a poruka "Registracija je završena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu da biste se vratili na stranicu Partner Hub Hybrid Data Security. Iskočna poruka s do danim čvorom također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Da biste stvorili dodatne klastere, prijavite se u Partner Hub i kliknite U sluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku da biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama stanara na hibridnoj sigurnosti podataka s više stanara

Aktivirajte HDS s više stanara na Partner Hubu

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije nego što počnete

Provjerite jeste li dovršili postavljanje HDS klastera Multi-Tenant s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici statusa HDS.

Dodajte organizacije stanara u Partner Hub

U ovom zadatku dodjeljujete korisničke organizacije svom klasteru za hibridnu sigurnost podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu D odijeljeni kup ci. Kartic a Dodijeljeni klijenti neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj kupce.
6	Odaberite kupca kojeg želite dodati iz padajućeg izbornika.
7	Kliknite Dodaj, kupac će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više kupaca u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što dodate kupce. Dodani kupci bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Izradi glavnih ključeva korisnika (CMKs) pomoću alata za postavljanje HDS-a da biste dovršili postupak postavl janja.

Stvaranje glavnih ključeva korisnika (CMK-ova) pomoću alata za postavljanje HDS-a

Prije nego što počnete

Dodijelite kupce kako je detaljno opis ano u članku Dodaj organizacije stanara u Partner Hu bu. Pokrenite alat za postavljanje HDS-a da biste dovršili postupak postavljanja za novododane organizacije kupaca.

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima za vašu organizaciju.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u koraku 5. Ova tablica daje neke moguće varijable okruženja:

Opis	Varijabilna
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP proxy s autentifikacijom	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s autentifikacijom	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Potrebna vam je najnovija kopija ove datoteke kad god izvršite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim pomoću ISO konfigurirate host Hybrid Data Security.

1	U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne slike alata za postavljanje HDS-a. Ako nema prethodnih slika, vraća se pogreška koju možete zanemariti.
2	Da biste se prijavili u Docker registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	U upit za lozinku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovnim okruženjima: `docker pull ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U okruženjima FedRAMP bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno poslužitelj sluša na priključku 8080."
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika idite na localhost, `http://127.0.0.1:8080` i unesite administratorsko korisničko ime za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Tada alat prikazuje standardni upit za prijavu.
7	Kada se od vas zatraži, unesite vjerodajnice za prijavu administratora centra Partner Hub, a zatim kliknite Pri java da biste omogućili pristup potrebnim uslugama za sigurnost hibridnih podataka.
8	Na stranici Pregled alata za postavljanje kliknite Započnite.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite ISO datoteku u pregledniku i prenesite je. Osigurajte povezivanje s bazom podataka kako biste izvršili upravljanje CMK-om.
11	Idite na kar ticu Upravljanje CMK stanarima, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima stanara. Stvorite CMK za sve ORG- ove ili Krei rajte CMK - Kliknite na ovaj gumb na natpisu na vrhu zaslona da biste stvorili CMK-ove za sve novododane organizacije. Kliknite gumb U pravljanje CM K-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove da biste stvorili CM K-ove za sve novododane organizacije. Kliknite blizu CMK menadžmenta na čekanju statusa određene organizacije u tablici i kliknite Stvori CMK da biste stvorili CMK za tu organizaciju.
12	Nakon uspješnog kreiranja CMK-a status u tablici promijenit će se s upravljanja CMK-om na čekanju na CM K upravl janom.
13	Ako kreiranje CMK nije uspješno, prikazat će se pogreška.

Uklonite organizacije stanara

Prije nego što počnete

Nakon uklanjanja, korisnici organizacija kupaca neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika obratite se svom Ciscovom partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodi jeljeni kup ci.
5	Na popisu organizacija kupaca koje se prikazuju kliknite na desnoj strani organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja tako što ćete opozvati CMK-ove organizacija kupaca kako je detaljno opisano u Opozovite CMK- ove stanara uklonjenih iz HDS- a.

Opozvati CMK-ove stanara uklonjenih iz HDS-a.

Prije nego što počnete

Uklonite kupce kako je detaljno opisano u Ukloni organizacije stan ara. Pokrenite alat za postavljanje HDS da biste dovršili postupak uklanjanja za organizacije korisnika koje su uklonjene.

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima za vašu organizaciju.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u koraku 5. Ova tablica daje neke moguće varijable okruženja:

Opis	Varijabilna
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP proxy s autentifikacijom	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s autentifikacijom	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Potrebna vam je najnovija kopija ove datoteke kad god izvršite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim pomoću ISO konfigurirate host Hybrid Data Security.

1	U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne slike alata za postavljanje HDS-a. Ako nema prethodnih slika, vraća se pogreška koju možete zanemariti.
2	Da biste se prijavili u Docker registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	U upit za lozinku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovnim okruženjima: `docker pull ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U okruženjima FedRAMP bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno poslužitelj sluša na priključku 8080."
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika idite na localhost, `http://127.0.0.1:8080` i unesite administratorsko korisničko ime za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Tada alat prikazuje standardni upit za prijavu.
7	Kada se od vas zatraži, unesite vjerodajnice za prijavu administratora centra Partner Hub, a zatim kliknite Pri java da biste omogućili pristup potrebnim uslugama za sigurnost hibridnih podataka.
8	Na stranici Pregled alata za postavljanje kliknite Započnite.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite ISO datoteku u pregledniku i prenesite je.
11	Idite na kar ticu Upravljanje CMK stanarima, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima stanara. Opozovite CMK za sve ORG- ove ili O pozovite CMK - Kliknite na ovaj gumb na natpisu na vrhu zaslona da biste opozvali CMK-ove svih organizacija koje su uklonjene. Kliknite gumb Upravljanje CM K-ovima na desnoj strani zaslona i kliknite Opozovi CMK-ove da biste opozvali CM K-ove svih organizacija koje su uklonjene. Kliknite u blizini CMK-a da biste opozvali status određene organizacije u tablici i kliknite Opozovi CM K da biste opozvali CM K za tu određenu organizaciju.
12	Nakon što je opoziv CMK uspješan, organizacija kupaca više se neće pojavljivati u tablici.
13	Ako opoziv CMK nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Koristite ovaj postupak za testiranje scenarija šifriranja hibridnih podataka s više stanara.

Prije nego što počnete

Postavite implementaciju hibridne sigurnosti podataka s više stanara.
Provjerite imate li pristup syslogu kako biste provjerili prenose li se ključni zahtjevi na vašu implementaciju Multi-Tenant Hybrid Data Security.

1

Tipke za određeni prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici stvaraju više neće biti dostupan nakon zamjene kopije ključeva za šifriranje u predmemoriji klijenta.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz syslog da biste provjerili prenose li ključni zahtjevi na vašu implementaciju Hybrid Data Security.

Ako korisnik novododate organizacije korisnika izvrši bilo koju radnju, Org ID organizacije pojavit će se u zapisnicima, a to se može upotrijebiti za provjeru koristi li organizacija HDS s više stanara. Provjerite vrijednost KMS.Data.Or gid u syslogovima.

Da biste provjerili da li korisnik prvo uspostavlja siguran kanal za KMS, filtrirajte na kms.data.method=create i kms.data. type=ephemeral_key_collection:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=i kms.data.type= key:

Trebali biste pronaći unos kao što je:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data. type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS Resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte na kms.data.method=create i kms. data.type=resource_collection:

Trebali biste pronaći unos kao što je:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tumačenje HDS zapisnika i razumijevanje oznaka agenta

HDS dnevnici pružaju detaljne informacije o KMS zahtjevima. Ovi zapisnici uključuju različita polja koja pomažu identificirati prirodu zahtjeva i povezani identitet. Razumijevanje ovih polja bitno je za pravilno tumačenje aktivnosti i pouzdanih unutarnjih operacija.

Terminologija

Kako bi se osigurala jasnoća prilikom pregleda HDS zapisnika, važno je razumjeti sljedeće pojmove:

Termin	Definicija
Servisni račun	Identitet usluge koji omogućuje Webex uslugama da sigurno obavljaju ovlaštene radnje.
Agent	Identitet uslužnog subjekta ili servisnog računa koji se koristi za obavljanje automatiziranih operacija unutar HDS okruženja.
Oznaka agenta	Oznaka uključena u HDS zapisnike koja identificira određeni izvor i vrstu dolaznog zahtjeva, omogućujući učinkovitu reviziju kontrole pristupa.
Delegirani pristup	Ovlašteni servisni račun koji pod nosi zahtjev za određenog korisnika, unutar dopuštenja tog korisnika. Pojavljuje se kao zahtjev za deleg iranje: `agent -> userid`.

Izraz "agent" u ovom se kontekstu posebno odnosi na identitete HDS usluga. Oni nisu povezani s agentima na AI koji se koriste u drugim Webexovim značajkama.

Zahtjev se do stavlja samo ako potječe iz:

autentificiranog korisnika u vašoj organizaciji ili
servisni račun koji se nalazi u vašoj organizaciji i koji je ovlaštena od nje.

Pregled polja dnevnika

Polje	Što predstavlja
Vremenska oznaka	Datum i vrijeme operacije.
kms.data.metoda	Izvedena operacija KMS (npr. Preuzimanje).
kms.data.orgld	Identifikator organizacije.
KMS.Data.HttpUserAgent	Klijent ili usluga koja podnosi zahtjev.
WEBEX_TRACKINGID	Jedinstveni identifikator praćenja za zahtjev.
Kms.Data.UriHost/kms.data.uri	Domaćin i resurs ciljani zahtjevom.
kms.data.userld	Identitet koji izvršava zahtjev, uključujući oznaku agenta.
kms.odgovor.uspjeh	Označava je li zahtjev uspio.

Vrste zahtjeva - Brza referenca

Oznaka u dnevniku	Oznaka agenta	Što predstavlja	Tipične operacije
Vrsta korisnika: UserAgent	Korisnički agent	Pouzdani račun usluge vezan za tijek rada korisnika, koji se odnosi na vašu organizaciju.	Stvaranje/upravljanje ključevima za korisnički proces.
o-agent <id>-> korisnik <id>	Organizacijski agent	Račun pouzdanog servisa na razini org-a koji koristi delegirani pristup.	Izvlačenje Webex podataka od strane službenika za usklađenost, integracije kalendara.
c-agent <id>-> korisnik <id>	Agent u oblaku	Webex usluga koja obavlja delegirani zahtjev za određenog korisnika.	Skeniranje virusa, pregled sadržaja, transkripti.
c-agent <id>	Agent u oblaku	Webex usluga koja obavlja delegirani zahtjev.	ECDHE/tipke sesije.
UUID krajnjeg korisnika	-	Autentificirani krajnji korisnik u interakciji s HDS-om.	Korisnik preuzima vlastiti ključ.

Vrste zahtjeva - U detalje

Oznake agenta kategoriziraju izvor zahtjeva i pomažu u određivanju odgovarajućih kontrola pristupa. Sljedeći primjeri prikazuju više vrsta zahtjeva i oznake agenta povezane s njima.

Korisnički agent (UserAgent):

To su pouzdani Webex servisni računi povezani s određenim korisničkim tijekovima rada i obuhvaćeni su organizaciji kupaca. Obično se koriste kada usluga stvara i upravlja ključevima u ime korisničkog tijeka rada.

Uzorak dnevnika:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Dnevnik uzorka prikazuje korisničkog agenta (UserAgent) koji izvodi operacije prikupljanja resursa za Webex uslugu.
Organizacijski agent (o-agent):

Ovi pouzdani Webex servisni računi ovlašteni su za obavljanje delegiranih operacija u ime korisnika unutar HDS-a. Opremljeni u organizaciju kupaca, ovi računi izvršavaju operacije na razini organizacije. Ova funkcija podržava nekoliko značajki, kao što je omogućavanje službenicima za usklađenost da pretražuju i izdvajaju Webex komunikacijske podatke - osiguravajući organizacijsku usklađenost s regulatornim standardima, sigurnosnim standardima i standardima privatnosti podataka.

Uzorak dnevnika:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Dnevnik uzorka prikazuje organizacijskog agenta (o-agent 9 [~] c) koji preuzima ključ u ime korisnika (4 [~] b) za Webex uslugu.
Agent u oblaku (c-agent):
Ovi pouzdani Webex servisni računi ovlašteni su za obavljanje operacija na HDS-u putem delegiranog pristupa u ime korisnika. Podržavaju osnovne značajke - kao što su snimke nakon sastanka, transkripti, skeniranje protiv zlonamjernog softvera i pregled datoteka koji poboljšavaju cjelokupno korisničko iskustvo.

Iako se agenti u oblaku mogu onemogućiti izmjenom ISO-a, kupci bi trebali biti svjesni da će to rezultirati gubitkom funkcionalnosti, kao što su snimke nakon sastanka, transkripti, pregled datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spaces. Dodatne informacije potražite u odjeljku Onemogući agente u oblaku.

Uzorak dnevnika:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Ključni pokazatelj: Dnevnik uzorka prikazuje agenta u oblaku (c-agent b [~] c) koji preuzima ključ sadržaja u ime korisnika (9 [~] c).

Izravna interakcija krajnjeg korisnika:

Autentificirani korisnik izravno komunicira s HDS-om.

Uzorak dnevnika:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ključni pokazatelj: Dnevnik uzorka prikazuje krajnjeg korisnika (c [~] f) koji preuzima ključ i izravno komunicira s HDS-om.

Nadgledajte zdravlje hibridne sigurnosti podataka

Pokazatelj statusa unutar Partner Hub-a pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnija upozorenja prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U Partner Hu bu odaberite U slu ge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Uredi postavke. Pojavljuje se stranica Hibridne postavke sigurnosti podataka.
3	U odjeljku Obavijesti e-pošte upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljanje implementacijom HDS-a

Upravljanje instalacijom HDS-a

Upotrijebite ovdje opisane zadatke za upravljanje implementacijom Hybrid Data Security.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se obavljaju prema rasporedu nadogradnje klastera. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored od 3:00 ujutro Dnevno Sjedinjene Države: America/Los Angeles. Također možete odlučiti odgoditi nadolazeću nadogradnju, ako je potrebno.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni sigurnosni resursi podataka odaberite klaster.
5	Kliknite karticu Postavke klastera.
6	Na stranici Postavke klastera u odjeljku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Pod vremenskom pojasom prikazan je sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promijenite konfiguraciju čvora

Povremeno ćete možda trebati promijeniti konfiguraciju vašeg čvora Hybrid Data Security iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena mora odgovarati izvornoj domeni koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku baze podataka PostgreSQL ili Microsoft SQL Server.

Ne podržavamo migraciju podataka s PostgreSQL-a na Microsoft SQL Server ili na suprotan način. Da biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hybrid Data Security.
Stvaranje nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke servisnih računa koje imaju životni vijek od devet mjeseci. Nakon što alat HDS Setup generira ove lozinke, implementirate ih na svaki od vaših HDS čvorova u ISO konfiguracij skoj datoteci. Kada se lozinke vaše organizacije bliže isteku, primit ćete obavijest od Webexovog tima da resetirate lozinku za račun vašeg računala. (E-pošta sadrži tekst "Upotrijebite API-j računskog računa za ažuriranje lozinke.") Ako vaše lozin ke još nisu istekle, alat vam daje dvije mogućnosti:

Soft reset - Stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje da postupno zamijenite ISO datoteku na čvorovima.
Tvrdo reseti ranje — Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vašu HDS uslugu, zahtijev ajući trenutno hard reset i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirate novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s punim administratorskim pravima partnera.

Ako nemate licencu Docker Desktop, možete koristiti Podman Desktop za pokretanje HDS-ovog alata za postavljanje za korake od 1.a do 1.e u donjem postupku. Detalje potra žite u odjeljku Pokreni alat za postavljanje HDS-a pomoću programa Podman Desktop.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u 1.e. Ova tablica daje neke moguće varijable okruženja:

Opis	Varijabilna
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP proxy s autentifikacijom	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s autentifikacijom	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracijske ISO datoteke. ISO sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. ISO vam je potreban kada unosite promjene konfiguracije, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Pomoću Dockera na lokalnom stroju pokrenite HDS alat za postavljanje. U naredbeni redak vašeg stroja unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne slike alata za postavljanje HDS-a. Ako nema prethodnih slika, vraća se pogreška koju možete zanemariti. Da biste se prijavili u Docker registar slika, unesite sljedeće: `docker login -u hdscustomersro` U upit za lozinku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovnim okruženjima: `docker pull ciscocitg/hds-setup:stable` U okruženjima FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Obavezno povucite najnoviji alat za postavljanje za ovaj postupak. Verzije alata stvorene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za vaše okruženje: U redovnim okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s httpsProxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U okruženjima FedRAMP bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U okruženjima FedRAMP s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno poslužitelj sluša na priključku 8080." Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se od vas zatraži, unesite vjerodajnice za prijavu korisnika Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute da biste dovršili alat i preuzeli ažuriranu datoteku. Da biste isključili alat za postavljanje, upišite `CTRL+C`. Napravite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor Hybrid Data Security i registrirajte ga pomoću nove konfiguracijske ISO datoteke. Detaljnije upute potražite u odjeljku Stvaranje i registracija više čvorova. Instalirajte HDS host OVA. Postavite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku montirajte ISO datoteku. Izvršite sljedeći postupak na svakom čvoru zauzvrat, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Za implementacije VMware: Isključite HDS virtualni stroj. U VMware vSphere klijentu odaberite HDS virtualni stroj. Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke. Odaberite CD/DVD pogon 1. Ako je ISO datoteka trenutno priložena, odvojite je prije nastavka. Odaberite Datastore ISO File, a zatim odaberite novu konfiguracijsku ISO datoteku. Odaberite Po vez ano i Poveži pri uključivanju. Spremite promjene i napajanje na virtualnom stroju. Za NFVIS implementacije: Idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika i prenesite novu konfiguracijsku ISO datoteku u spremište slika NFVIS. Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite HDS virtualni stroj. Isključite HDS virtualni stroj i pričekajte dok se njegov status ne promijeni u Isključi vanje. Otvorite CD-ROM uređaje. Ako je ISO datoteka trenutno priložena, odvojite je i provjerite ne ostaje li priložena ISO datoteka. Odaberite Pril ozi, a zatim odaberite novo prenesenu konfiguracijsku ISO datoteku. Dovršite operaciju i provjerite je li navedena nova konfiguracijska ISO datoteka. Pokrenite HDS virtualni stroj. Za Nutanix implementacije: U Prism Central idite na Infrastructure > Compute > Images. Odaberite Dodaj sliku. U odjeljku Izvor slike odaberite Datote ka slike, a zatim odaberite Dodaj datoteku. Odaberite novu konfiguraciju ISO i provjerite je li Vrsta postavljena na ISO. Dovršite odabir lokacije za ciljni klaster i dovršite prijenos. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi. Otvorite karticu VM- ovi Diskovi. Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši. Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Uključeno. Potvrdite da se najmanje 15 minuta ne pojavljuju alarmi.
4	Ponovite korak 3 da biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključite blokirani vanjski način rezolucije DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira DNS pretraživanje i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može riješiti javna DNS imena, čvor automatski prelazi u način blokirane vanjske DNS rezolucije.

Ako vaši čvorovi mogu riješiti javna DNS imena putem internih DNS poslužitelja, ovaj način možete isključiti ponovnim pokretanjem testa proxy veze na svakom čvoru.

Prije nego što počnete

Pobrinite se da vaši interni DNS poslužitelji mogu riješiti javna DNS imena i da vaši čvorovi mogu komunicirati s njima.

1	U web pregledniku otvorite sučelje čvora Hybrid Data Security (IP adresa/postavka, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Pri java.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska razlučivost DNS- a postavljena je na Da.
3	Idite na stranicu Trgovina povjerenja i proxy.
4	Kliknite Pro vjeri vezu s proxyjem. Ako vidite poruku koja kaže da vanjska DNS rezolucija nije bila uspješna, čvor nije mogao doći do DNS poslužitelja i ostat će u ovom načinu rada. Inače, nakon što ponovno pokrenete čvor i vratite se na stranicu Pregled, blokirana vanjska DNS rezolucija trebala bi biti postavljena na br.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru Hybrid Data Security.

Uklanjanje čvora

Pomoću ovog postupka uklonite čvor za hibridnu sigurnost podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup vašim sigurnosnim podacima.

1

Upotrijebite sučelje za upravljanje hipervizora u vašoj implementaciji kako biste locirali i isključili HDS virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite U sluge.
Na kartici Hibrid Data Security kliknite Prikaži sve da biste prikazali stranicu Hibridni sigurnosni resursi podataka.
Odaberite klaster da biste prikazali ploču Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Od javite ovaj čvor na ploči koja se pojavljuje s des ne strane
Također možete odjaviti čvor klikom na... na desnoj strani čvora i odabirom Odjavite čvor.

3

Koristeći upravljačko sučelje za hipervizor u vašoj implementaciji, pronađite i izbrišite HDS virtualni stroj.

Ako ne izbrišete VM, ne zaboravite demontirati konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Data centar u stanju pripravnosti za oporavak od katastrofe

Tijekom implementacije postavili ste siguran podatkovni centar u stanju pripravnosti. U slučaju katastrofe podatkovnog centra, možete ručno prekinuti implementaciju u podatkovni centar u stanju pripravnosti.

Baze podataka aktivnih podatkovnih centara i podatkovnih centara u stanju pripravnosti sinkronizirane su jedna s drugom što će minimizirati vrijeme potrebno za izvođenje prijenosa neuspjeha.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavljanje podatkovnog centra u stanju pripravnosti za oporavak od katastrofe

Slijedite korake u nastavku da biste konfigurirali ISO datoteku podatkovnog centra u stanju pripravnosti:

Prije nego što počnete

Podatkovni centar u stanju pripravnosti trebao bi zrcaliti proizvodno okruženje VM-a i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje trebalo bi imati 3 VM-a. (Pogledajte podatkovni centar za stanje pripravnosti za oporavak od katastrofe za pregled ovog modela prekida neuspjeha.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjelj ku Stvorite ISO konfiguraciju za HDS-ove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju se trebaju izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku da biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće upravljati nikakvim prometom. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo onim administratorima Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije.
6	Montirajte konfiguracijsku ISO datoteku: Prije ugradnje nove konfiguracije ISO: Isključite HDS čvor. Provjerite nije li trenutno priložena ISO datoteka. Ako je priložena ISO datoteka, odvojite je prije nastavka. Za implementacije VMware: U VMware vSphere klijentu odaberite HDS virtualni stroj. Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke. Odaberite CD/DVD pogon 1. Odaberite Datastore ISO File, a zatim odaberite novu konfiguracijsku ISO datoteku. Provjerite jesu li odabrani Povezani i Pove ži pri uključivanju. Spremite promjene. Za NFVIS implementacije: Idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika i prenesite novu konfiguracijsku ISO datoteku u spremište slika NFVIS. Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite HDS virtualni stroj. Otvor ite CD-ROM uređaje i provjerite nije li trenutno priložena ISO datoteka. Odaberite Pril ozi, a zatim odaberite novo prenesenu konfiguracijsku ISO datoteku. Dovršite operaciju i provjerite je li priložena nova konfiguracijska ISO datoteka. Za Nutanix implementacije: U Prism Central idite na Infrastructure > Compute > Images. Odaberite Dodaj sliku. U odjeljku Izvor slike odaberite Datote ka slike, a zatim odaberite Dodaj datoteku. Odaberite novu konfiguraciju ISO i provjerite je li Vrsta postavljena na ISO. Dovršite odabir lokacije za ciljni klaster i dovršite prijenos. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi. Otvorite karticu VM- ovi Diskovi. Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši. Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u.
7	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
8	Ponovite postupak za svaki čvor u podatkovnom centru u stanju pripravnosti. Provjerite syslogove kako biste provjerili jesu li čvorovi u pasivnom načinu rada. Trebali biste moći vidjeti poruku "KMS konfiguriran u pasivnom načinu rada" u syslogovima.

Što učiniti sljedeće

Nakon konfiguriranja Pasi veMode u ISO datoteci i spremanja, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije PassiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog Pasive Mode može pomoći u brz om postupku prekida kvara tijekom oporavka od katastrofe. Detaljan postupak neuspjeha potražite u odjelj ku Oporavak od katastrofe pomoću podatkovnog centra u stanju pripravnosti.

Oporavak od katastrofe pomoću podatkovnog centra u stanju pripravnosti

Najkritičnija usluga koju pruža vaš klaster Hybrid Data Security je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Security, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim da ih preuzmu, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja ovih ključeva, neophodno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracije ISO koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće prakse obvezne su kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da instalacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u podatkovni centar u stanju pripravnosti.

Prije nego što počnete

Upotrijebite najnoviju ISO datoteku koja je konfigurirana u odnosu na čvorove klastera koji je prethodno bio aktivan da biste izvršili dolje navedeni postupak neuspjeha.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjelj ku Stvorite ISO konfiguraciju za HDS-ove.
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju ispod ili uklonite konfiguraciju Pasive `Mode da biste` čvor učinili aktivnim. Čvor može upravljati prometom nakon što je to konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo onim administratorima Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije.
6	Montirajte konfiguracijsku ISO datoteku: Prije ugradnje nove konfiguracije ISO: Isključite HDS čvor. Provjerite nije li trenutno priložena ISO datoteka. Ako je priložena ISO datoteka, odvojite je prije nastavka. Za implementacije VMware: U VMware vSphere klijentu odaberite HDS virtualni stroj. Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke. Odaberite CD/DVD pogon 1. Odaberite Datastore ISO File, a zatim odaberite novu konfiguracijsku ISO datoteku. Provjerite jesu li odabrani Povezani i Pove ži pri uključivanju. Spremite promjene. Za NFVIS implementacije: Idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika i prenesite novu konfiguracijsku ISO datoteku u spremište slika NFVIS. Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite HDS virtualni stroj. Otvor ite CD-ROM uređaje i provjerite nije li trenutno priložena ISO datoteka. Odaberite Pril ozi, a zatim odaberite novo prenesenu konfiguracijsku ISO datoteku. Dovršite operaciju i provjerite je li priložena nova konfiguracijska ISO datoteka. Za Nutanix implementacije: U Prism Central idite na Infrastructure > Compute > Images. Odaberite Dodaj sliku. U odjeljku Izvor slike odaberite Datote ka slike, a zatim odaberite Dodaj datoteku. Odaberite novu konfiguraciju ISO i provjerite je li Vrsta postavljena na ISO. Dovršite odabir lokacije za ciljni klaster i dovršite prijenos. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi. Otvorite karticu VM- ovi Diskovi. Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši. Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u.
7	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
8	Ponovite postupak za svaki čvor u podatkovnom centru u stanju pripravnosti. Provjerite izlaz syslog da biste provjerili nisu li čvorovi podatkovnog centra u stanju pripravnosti u pasivnom načinu rada. "KMS konfiguriran u pasivnom načinu rada" ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon neuspjeha, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite podatkovni centar u mirovanju u pasivni način rada slijedeći korake opisane u odjeljku Postavljanje podatkovnog centra u stanju pripravnosti za oporavak od katastrofe.

(Opcionalno) Odmontirajte ISO nakon HDS-a konfiguracije

Standardna HDS konfiguracija radi s montiranim ISO. No, neki kupci radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete demontirati nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za izmjene konfiguracije. Kada kreirate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi preuzmu promjene konfiguracije, ovim postup kom možete ponovo demontirati ISO.

Prije nego što počnete

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

Odvojite konfiguracijsku ISO datoteku.

Za implementacije VMware:

Isključite jedan HDS čvor.
U VMware vSphere klijentu odaberite HDS virtualni stroj.
Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke.
Odaberite CD/DVD pogon 1 i odvojite montiranu konfiguracijsku ISO datoteku.
Obri šite Connec ted i Connect pri uključenom napajanju, a zatim spremite promjene.
Uključite HDS čvor i provjerite da se najmanje 20 minuta ne pojavljuju alarmi.
Ponovite ove korake za preostale HDS čvorove, jedan po jedan.

Za NFVIS implementacije:

Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite jedan HDS virtualni stroj.
Isključite VM i pričekajte dok se njegovo stanje ne promijeni u Isklju či vanje.
Otvorite CD-ROM uređaje.
Odaberite priloženu konfiguracijsku ISO datoteku i kliknite Odvoji.
Provjerite da ISO datoteka više nije priključena na virtualni stroj.
Pokrenite HDS čvor i provjerite da se najmanje 20 minuta ne pojavljuju alarmi.
Ponovite ove korake za preostale HDS čvorove, jedan po jedan.

Za Nutanix implementacije:

Idite na Infrastruktura > Računi > VM-ovi i odaberite jedan HDS virtualni stroj.
Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi.
Otvorite kar ticu Diskovi na VM-u.
Odaberite ISO unos konfiguracije čija je vrsta CD-ROM.
Kliknite Iz bac i.
Potvrdite da ISO konfiguracija više nije montirana.
Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Uključeno.
Potvrdite da se najmanje 15 minuta ne pojavljuju alarmi.
Ponovite ove korake za preostale HDS čvorove, jedan po jedan.

Rješavanje problema sa sigurnošću hibridnih podataka

Pregled upozorenja i rješavanje problema

Implementacija Hybrid Data Security smatra se nedostupnom ako su svi čvorovi u klasteru nedostižni ili klaster radi tako sporo da zahtijeva istekanje vremena. Ako korisnici ne mogu doći do vašeg klastera Hybrid Data Security, imaju sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti nove tipke)
Poruke i naslovi razmaka ne mogu se dešifrirati za:
- Novi korisnici dodani u prostor (ne mogu preuzeti tipke)
- Postojeći korisnici u prostoru koji koriste novi klijent (ne mogu preuzeti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno raditi sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno nadgledate svoj klaster za sigurnost hibridnih podataka i odmah odgovorite na sva upozorenja kako biste izbjegli poremećaj usluge.

Upozorenja

Ako postoji problem s postavkom Hybrid Data Security, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poštu na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Akcija
Neuspjeh pristupa lokalnoj bazi podataka.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Neuspjeh veze lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i da su u konfiguraciji čvora korištene prave vjerodajnice računa usluge.
Neuspjeh pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsko povezivanje.
Obnavljanje registracije usluga u oblaku.	Registracija za usluge u oblaku je prekinuta. Obnova registracije je u tijeku.
Registracija usluge u oblaku je pala.	Registracija na usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat poslužitelja s konfiguriranom domenom aktivacije usluge. Najvjerojatniji uzrok je taj što je certifikat CN nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Nije uspjela autentifikacija usluga u oblaku.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Nije uspjelo otvoriti lokalnu datoteku za pohranu ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci za pohranu ključeva.
Certifikat lokalnog poslužitelja je nevažeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdaniCertificate Authority.
Nije moguće objaviti mjerne podatke.	Provjerite pristup lokalnoj mreži vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite ISO konfiguraciju montiranja na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje prilikom ponovnog pokretanja i da li se uspješno montira.
Postavljanje stanara nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću HDS alata za postavljanje.
Postavljanje stanara nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivanjem CMK-ova organizacija stanara koji su uklonjeni pomoću HDS alata za postavljanje.

Rješavanje problema sa sigurnošću hibridnih podataka

Upotrijebite sljedeće opće smjernice prilikom rješavanja problema s Hibridnom sigurnošću podataka.

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite U sluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i popravite sve stavke koje tamo pronađete. Pogledajte donju sliku za referencu.
5	Pregledajte izlaz syslog poslužitelja radi aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
6	Obratite se Ciscovoj podrš ci.

HDS API-ji za razvojne programere

API-ji za programere HDS način su za dohvaćanje analitičkih i nadzornih podataka, kao i rješavanje problema s implementacijama HDS-a putem Webex portala za razvojne programere. API-ji su dostupni na https://developer.webex.com/messaging/docs/api/v1/hds.

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite konfiguracijsku ISO datoteku ili izgubite pristup bazi podataka trgovine ključeva, korisnici korisničkih organizacija Webex aplikacije više ne mogu koristiti razmake ispod popisa Ljudi koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili rješenje za ovaj problem i pozivamo vas da ne isključite HDS usluge nakon što rade s aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Postavljanje i konfiguriranje HDS-a na NFVIS-u

Slijedite dolje navedene postupke za postavljanje HDS-a na NFVIS hipervizoru. Postupak uključuje instaliranje HDS OVA, postavljanje VM-a, postavljanje ISO konfiguracije i provjeru implementacije.

Instalirajte HDS Host OVA na NFVIS

Prije nego što počnete

Ispunite preduvjete za zaštitu hibridnih podataka i preuzmite najnoviji HDS OVA. Preimenujte datoteku pomoću formata hds- .ova za praćenje; na primjer, hds-26-augus-2026.ova. <DD-MMM-YYYY>
Stvorite HDS konfiguracijski ISO i sigurno ga pohranite. ISO sadrži glavni ključ za šifriranje.
Prikupite statičku IP adresu čvora, masku podmreže, pristupnik, DNS poslužitelj, NTP poslužitelj i naziv mreže NFVIS.
Potvrdite da imate NFVIS administratorski pristup i dovoljan kapacitet za dodjelu najmanje 4 VCPU-a, 8 GB memorije i 30 GB prostora za pohranu po HDS čvoru.

1	Prijavite se na NFVIS sučelje i idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika.
2	Odaberite opciju LOCAL i prenesite preimenovanu HDS OVA datoteku (na primjer, hds-26-kolovoz-2026.ova).
3	Postavite Vrstu radnog opterećenja VM na Pozivanje, a Vr sta virtualnog računala na ECP/VIDEO MESH, a zatim odaberite Učitaj datoteku.
4	Pratite napredak prijenosa do završetka.
5	Potvrdite da je učitana OVA označena kao aktivna i da je NFVIS uspješno stvorio povezani prilagođeni OVA profil.

Postavljanje virtualnog računala za hibridnu sigurnost podataka na NFVIS-u

1	Idite na Konfiguracija > Instali raj i odaberite ECP/VIDEO MESH iz izbornika Odaberi VM.
2	Unesite jedinstveno ime virtualnog računala, odaberite prethodno prenesenu HDS sliku i odaberite odgovarajući prilagođeni OVA profil u odjeljku Detalji implementacije.
3	Odaberite DEPLO Y i pričekajte obavijest o uspješnoj implementaciji.
4	Idite na Konfiguracija > Virtualni stroj > Upravl janje da biste provjerili je li novi HDS VM aktivan.
5	Vratite se na Konfiguracija > Instaliraj, odaberite HDS VM i pomoću padajućeg popisa M režna sučel ja priključite ga na potrebnu WAN mrežu.
6	Odaberite DEPLO Y da biste primijenili promjene konfiguracije mreže.

Prenesite i montirajte HDS konfiguraciju ISO

1	Prije nastavka provjerite je li HDS konfiguracijska ISO datoteka prenesena u spremište slika putem Konfiguracija > Virtualni stroj > Slike > Repozitorij slika.
2	Otvorite terminal za HDS VM putem konfiguracije > Virtualni stroj > Upravl janje i izvršite početnu prijavu pomoću zadanih vjerodajnica. `Korisničko ime: admin` `Lozinka: ciscosystems`
3	Promijenite vjerodajnice administratora kada se to zatraži.
4	Konfigurirajte statičku IP adresu čvora, masku podmreže, pristupnik, DNS i NTP postavke pomoću opcije Uredi konfiguraciju.
5	Isključite HDS VM kako biste olakšali postupak montaže.
6	Otvorite izbornik VM akcija, odaberite CD-ROM i odaberite HDS konfiguracijski ISO da biste ga priključili na VM.
7	Uključite VM i provjerite započinje li uspješno s montiranom ISO konfiguracijom.

Što učiniti sljedeće

Ako je potrebno, nastavite s Konfiguriranje čvora za integraciju pro xyja, a zatim nastavite s Registracijom prvog čvora u klaster u.

Postavite i konfigurirajte HDS na Nutanixu

Slijedite dolje navedene postupke za postavljanje HDS-a na Nutanix hipervizoru. Postupak uključuje instaliranje HDS OVA, postavljanje VM-a, postavljanje ISO konfiguracije i provjeru implementacije.

Instalirajte HDS Host OVA na Nutanix

Koristite ovaj postupak za uvoz HDS OVA datoteke u Nutanix.

1	Preuzmite najnoviji HDS OVA.
2	U Prism Central idite na Infrastructure > Compute > OVA.
3	Odaberite Prenesi OVA.
4	Odaberite OVA izvor i odaberite ciljni klaster.
5	Dajte učitanom OVA-u jedinstveno i prepoznatljivo ime. Uključite verziju ili datum prijenosa kako bi ga administratori mogli razlikovati od starijih OVA verzija.
6	Dovršite prijenos.
7	Na popisu OVA provjerite je li format diska prikazan kao VMDK.

Stvorite hibridni VM za sigurnost podataka na Nutanixu

Koristite ovaj postupak za stvaranje HDS virtualnog stroja.

1	U Prism Central idite na Infrastructure > Compute > OVA.
2	Odaberite uspješno prenesenu HDS OVA.
3	Odaberite Postavi kao VM.
4	Unesite jedinstveno, prepoznatljivo ime VM -a i odaberite ciljni klaster.
5	Provjerite je li OVA popunila sljedeća svojstva VM: 4 VCPU-a 8 GB memorije
6	Kliknite Dalje. Otvara se čarobnjak za resur se.
7	U tab lici Resursi > Diskovi provjerite ima li priloženi disk veličine 30 GB.
8	Pričvrstite ispravnu podmrežu ili VLAN pomoću opcije Priključi na podmrežu i postavite stanje mrežne veze na Povezano. Ako čarobnjak sadrži prazan ili zadani mrežni unos koji prikazuje Nije pronađena mreža za VM mre žu, uklonite taj unos. Nevažeći unos može spriječiti nastavak čarobnjaka čak i nakon pričvršćivanja ispravne podmreže.
9	Odaberite UEFI kao BIOS način rada i kliknite Dalje. Otvara se čarobnjak za upravljanje.
10	Ostavite kategorije praznim osim ako organizacija ne zahtijeva kategorije.
11	Odaberite odgovarajuću vremensku zonu.
12	Odaberite Bez prilagodbe na kartici Prilagođavanje gosti ju i kliknite Dalje.
13	Pregledajte postavke i odaberite St vori VM.

Prenesite i montirajte HDS konfiguraciju ISO

1	U Prism Central idite na Infrastructure > Compute > VM-ovi.
2	Odaberite postavljeni HDS VM. Na kartici S až etak odaberite Operacije napajanja > Uključeno. Pričekajte nekoliko minuta da se VM pokrene.
3	Kliknite Pok reni konzolu. Izvršite početnu prijavu pomoću zadanih vjerodajnica. `Korisničko ime: admin` `Lozinka: ciscosystems`
4	Promijenite vjerodajnice administratora kada se to zatraži.
5	Konfigurirajte statičku IP adresu čvora, masku podmreže, pristupnik, DNS i NTP postavke pomoću opcije Uredi konfiguraciju.
6	Isključite HDS VM prije pričvršćivanja ISO-a. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi.
7	Otvorite karticu VM- ovi Diskovi.
8	Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši.
9	Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA
10	Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u.
11	Na kartici S ažetak virtualnog računala odaberite Operacije napajanja > Uključeno i provjerite da nema alarma najmanje 15 minuta.

Što učiniti sljedeće

Ako je potrebno, nastavite s Konfiguriranje čvora za integraciju pro xyja, a zatim nastavite s Registracijom prvog čvora u klaster u.

Migrirajte HDS čvorove između podržanih hipervizora

Koristite ovaj postupak za premještanje HDS čvorova s jednog podržanog hipervizora na drugi. Postojeći HDS virtualni strojevi ne migriraju se izravno između hipervizora. Umjesto toga, postavite zamjenske čvorove na ciljni hipervizor i registrirajte ih s postojećim ili novim HDS klasterom.

Prije nego što počnete

Napravite sigurnosnu kopiju HDS baze podataka i trenutne konfiguracije ISO.
Potvrdite da ciljni hipervizor i virtualni domaćini ispunjavaju zahtjeve za implementaciju HDS-a.
Provjerite je li postojeći HDS klaster zdrav i da preostali čvorovi mogu nastaviti upravljati prometom dok zamjenjujete čvor.
Utvrdite hoće li svaki zamjenski čvor ponovno upotrijebiti IP adresu izvornog čvora i FQDN ili koristiti nove mrežne postavke.
Koristite trenutni konfiguracijski ISO i postojeću HDS bazu podataka za zamjenske čvorove.

Ako se potez mijenja i konfiguracija aktivnog podatkovnog centra, poslužitelja baze podataka ili HDS-a, pogledajte Prom jena konfiguracije čvora i podatkovnog centra u stanju pripravnosti za oporavak od katastrofe prije nastavka.

1	Odaberite jedan HDS čvor na izvornom hipervizoru koji želite zamijeniti. Ostavite sve ostale čvorove pokrenute i registrirane.
2	Pripremite mrežnu konfiguraciju za zamjenski čvor: Ako ponovno koristite IP adresu izvornog čvora i FQDN, isključite izvorni VM i odjavite čvor prije nego što zamjenski čvor dovedete na mrežu. Ako koristite novu IP adresu ili FQDN, ostavite izvorni čvor pokrenut i registriran dok implementirate i provjeravate zamjenski čvor. Nemojte istovremeno pokretati izvorne i zamjenske čvorove ako koriste istu mrežnu konfiguraciju.
3	Stvorite i konfigurirajte zamjenski VM na ciljnom hipervizoru. Upotrijebite najnoviju HDS OVA i slijedite primjenjive postupke implementacije za taj hipervizor.
4	Konfigurirajte mrežne postavke zamjenskog VM-a prema konfiguraciji odabranoj u koraku 2. Slijedite upute za postavljanje ciljnog hipervizora.
5	Priložite trenutni HDS konfiguracijski ISO. Ako vaša implementacija koristi proxy, konfigurirajte proxy i trgovinu povjerenja kako je opisano u odjeljku Konfiguriranje HDS čvora za integraciju proxy ja.
6	Registrirajte zamjenski čvor s postojećim klasterom ili novim klasterom. Pogledajte Stvaranje i registracija više čvorova.
7	Potvrdite je li zamjenski čvor zdrav, povezan s Webex oblakom i upravlja HDS prometom. Riješite sve alarme prije nastavka.
8	Ako izvorni čvor još uvijek radi jer zamjena koristi novu mrežnu konfiguraciju, isključite i odjavite izvorni čvor. Pogledajte Uklanjanje čvora.
9	Ponovite ove korake za svaki preostali čvor na izvornom hipervizoru. Nemojte zamijeniti drugi čvor dok klaster ne bude zdrav.
10	Nakon što su svi zamjenski čvorovi stabilni i vraćanje više nije potrebno, izbrišite izvorne virtualne strojeve iz izvornog hipervizora. Ako privremeno zadržite originalni virtualni stroj, isključite ga i isključite njegovu konfiguraciju ISO.

Što učiniti sljedeće

Nakon registracije zamjenskih čvorova, potvrdite da su zdravi i da instalacija HDS-a upravlja prometom. Ako je implementacija zdrava, uklonite sve izvorne čvorove koji su još uvijek registrirani na izvornom hipervizoru. Ako je primjenjivo, slijedite gore navedene korake da biste zamijenili čvorove u postavci oporavka od katastrofe.

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktop

Podman je besplatan alat za upravljanje spremnicima otvorenog koda koji pruža način pokretanja, upravljanja i stvaranja spremnika. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

Alat HDS Setup radi kao Docker spremnik na lokalnom stroju. Da biste mu pristupili, preuzmite i pokrenite Podman na tom stroju. Postupak postavljanja zahtijeva vjerodaj nice računa Control Hub s punim administratorskim pravima za vašu organizaciju.

Ako alat za postavljanje HDS-a radi iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Dockerovih varijable okruženja prilikom pokretanja Dockerovog spremnika u koraku 5. Ova tablica daje neke moguće varijable okruženja:

Opis	Varijabilna
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP proxy s autentifikacijom	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s autentifikacijom	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Potrebna vam je najnovija kopija ove datoteke kad god izvršite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim pomoću ISO konfigurirate host Hybrid Data Security.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u odjel jku Stvorite konfiguracijski ISO za HDS-ove ili Pro mijenite konfiguraciju čvora da biste stvorili ili promijenili ISO konfiguraciju.

Onemogući agente u oblaku

Cloud agenti (c-agent) su pouzdani Webex servisni računi koji obavljaju operacije na HDS-u putem delegiranog pristupa u ime korisnika radi poboljšanja cjelokupnog korisničkog iskustva. Onemogućavanje Cloud Agents blokira Webex uslugama da pristupe lokalnim HDS ključevima.

Onemogućavanje agenata u oblaku rezultirat će gubitkom značajki kao što su snimke nakon sastanka, transkripti, pregled datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spaces.

Slijedite korake u nastavku da biste onemogućili agente u oblaku za implementaciju HDS-a.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjelj ku Stvorite ISO konfiguraciju za HDS-ove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju se trebaju izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguriranja Syslogd poslužitelja kliknite Napredne postavke.
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku da biste onemogućili agente u oblaku. To će osigurati da agenti u oblaku ne smiju upravljati HDS prometom. `cloudAgentUpdateEnabled: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Čuvajte sigurnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo onim administratorima Hybrid Data Security koji bi trebali izvršiti promjene konfiguracije.
6	Montirajte konfiguracijsku ISO datoteku: Prije ugradnje nove konfiguracije ISO: Isključite HDS čvor. Provjerite nije li trenutno priložena ISO datoteka. Ako je priložena ISO datoteka, odvojite je prije nastavka. Za implementacije VMware: U VMware vSphere klijentu odaberite HDS virtualni stroj. Desnom tipkom miša kliknite virtualni stroj i odaberite Uredi postavke. Odaberite CD/DVD pogon 1. Odaberite Datastore ISO File, a zatim odaberite novu konfiguracijsku ISO datoteku. Provjerite jesu li odabrani Povezani i Pove ži pri uključivanju. Spremite promjene. Za NFVIS implementacije: Idite na Konfiguracija > Virtualni stroj > Slike > Repozitorij slika i prenesite novu konfiguracijsku ISO datoteku u spremište slika NFVIS. Idite na Konfiguracija > Virtualni stroj > Upravl janje i odaberite HDS virtualni stroj. Otvor ite CD-ROM uređaje i provjerite nije li trenutno priložena ISO datoteka. Odaberite Pril ozi, a zatim odaberite novo prenesenu konfiguracijsku ISO datoteku. Dovršite operaciju i provjerite je li priložena nova konfiguracijska ISO datoteka. Za Nutanix implementacije: U Prism Central idite na Infrastructure > Compute > Images. Odaberite Dodaj sliku. U odjeljku Izvor slike odaberite Datote ka slike, a zatim odaberite Dodaj datoteku. Odaberite novu konfiguraciju ISO i provjerite je li Vrsta postavljena na ISO. Dovršite odabir lokacije za ciljni klaster i dovršite prijenos. Idite na Infrastruktura > Računi > VM-ovi i odaberite primjenjivi HDS VM. Na kartici S ažetak virtu alnog računala odaberite Operacije napajanja > Isključi vanje i pričekajte dok se VM potpuno ne zaustavi. Otvorite karticu VM- ovi Diskovi. Ako je priložen stari ISO konfiguracije, odaberite samo njegov unos CD-ROM i kliknite Izbriši. Na kartici Diskovi, ako je polje Iz vor prazno za sve unose virtualnog diska, odaberite odgovarajuće potvrdne okvire i kliknite Izbri ši. Odaberite Prilozi disk i konfigurirajte sljedeće vrijednosti: Tip: CD- ROM Operacija: Klon iz slike Položaj diska: I sti klaster Slika: N ovo prenesena konfiguracija ISO Vrsta sabirnice: SATA Spremite konfiguraciju i potvrdite da se novi ISO pojavljuje kao priloženi CD-ROM na VM-u.
7	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
8	Ponovite postupak za svaki čvor u instalaciji HDS-a. Provjerite jesu li agenti u oblaku onemogućeni provjerom syslogova za sljedeći unos: 'Ažuriranje agenta u oblaku onemogućeno'.

Premjestite postojeću instalaciju HDS-a za jednog stanara partnerske organizacije u Control Hubu u postavku HDS-a s više stanara u Partner Hubu

Pretvorba iz postojeće instalacije HDS-a s jednim stanarom partnerske organizacije kojom se upravlja u Control Hubu u instalaciju HDS-a s više stanara kojom se upravlja u Partner Hubu prvenstveno uključuje deaktiviranje HDS usluge u Control Hubu, deregistraciju čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati kupce u svoj klaster.

Izraz "jednostanar" jednostavno se odnosi na postojeću implementaciju HDS-a u Control Hubu.

Deaktivirajte HDS, odjavite čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Control Hub. Na lijevom oknu kliknite Hibrid. Na kartici Hibrid Data Security kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite De aktiviraj.
3	Nakon deaktivacije kliknite karticu Resursi.
4	Stranica Resursi navodi klastere u vašoj instalaciji HDS-a. Kliknite na klaster, otvara se stranica sa svim čvorovima ispod tog klastera.
5	Kliknite s desne strane i kliknite Odjav ite čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odjave.
7	Kliknite Postavke klastera > U kloni.
8	Kliknite Potvrdi uklanjanje da biste odjavili klaster.
9	Ponovite postupak za sve klastere u instalaciji HDS-a. Nakon deaktivacije HDS-a, deregistracije čvorova i uklanjanja klastera, na dnu će se prikazati kartica Hybrid Data Service na Control Hubu Post avljanje nije dovrš eno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije nego što počnete

Ovdje su primjenjivi svi preduvjeti navedeni u Zahtjevima za hibridnu sigurnost podataka s više stanara. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom premještanja na Multi-Tenant HDS.

1	Prijavite se u Partner Hub. Kliknite U slu ge na lijevom oknu. Koristite isti ISO iz prethodne instalacije HDS-a za konfiguriranje čvorova. Time će se osigurati da poruke i sadržaj koji su generirali korisnici u prethodnoj postojećoj implementaciji HDS-a i dalje budu dostupni u novoj postavci Multi-Tenant.
2	U odjeljku Hibrid pronađite karticu Hybrid Data Security i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje St vori karticu klastera unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da imenujete klaster na temelju mjesta na kojem se geografski nalaze čvorovi klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirano ime domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u programu Postavljanje virtualnog računala za hibridnu sigurnost podataka. Pojavljuje se poruka koja pokazuje da možete registrirati svoj čvor na Webex.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka preusmjereni ste na testove povezivanja čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom sigurnosnom čvoru podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom sigurnosnom čvoru podataka, a zatim kliknite Nast avi. Vaš je račun potvrđen, a poruka "Registracija je završena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka novi klaster koji sadrži čvor koji ste registrirali prikazan je na kartici Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Post avke i kliknite Aktiviraj na HDS statusnoj kartici. Aktivirana HDS poruka pojavit će se na dnu zaslona.
9	Kliknite karticu D odijeljeni kup ci.
10	Kliknite Dodaj kupce.
11	Odaberite kupca kojeg želite dodati iz padajućeg izbornika.
12	Kliknite Dodaj, kupac će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više kupaca u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što dodate kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Izradi glavnih ključeva korisnika (CMKs) pomoću alata za postavljanje HDS-a da biste dovršili postupak postavl janja.

Koristite OpenSSL za generiranje datoteke PKCS12

Prije nego što počnete

OpenSSL je jedan alat koji se može koristiti za izradu datoteke PKCS12 u odgovarajućem formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini da se to postigne, a mi ne podržavamo niti promoviramo na jedan način u odnosu na drugi.
Ako ipak odlučite koristiti OpenSSL, pružamo ovaj postupak kao smjernicu kako bismo vam pomogli stvoriti datoteku koja zadovoljava zahtjeve X.509 certifikata u zahtjevima X.509 certifikata. Shvatite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržano okruženje. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Stvorite privatni ključ.
Pokrenite ovaj postupak kada primite certifikat poslužitelja od vašeg Certificate Authority (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsno` de.pem.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -tekst -nema u hdsnode.pem`
3	Upotrijebite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsno` de-bundle.pem. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate, u donjem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	`Stvorite datoteku.p12 s prijateljskim imenom kms-private-key.` `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -naziv kms-privatni ključ -caname kms-privatni ključ -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 - u hdsnode.p12` Unesite lozinku u upit za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `FriendlyName: kms-privat` e-key. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Što učiniti sljedeće

Vratite se na Dovršite preduvjete za sigurnost hibridnih podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u Izradi konfiguracijski ISO za HDS hostove.

Te datoteke možete ponovno upotrijebiti da biste zatražili novi certifikat kada istekne izvor ni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja odlaznih mjernih podataka

Čvorovi za sigurnost hibridnih podataka šalju određene mjerne podatke u Webex oblak. To uključuje mjerne podatke sustava za maksimum gomile, korištenu gomilu, opterećenje CPU-a i broj niti; mjerne podatke o sinkronim i asinkronim nitima; mjerne podatke o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metrike na datastore; i metrike veze za šifriranje. Čvorovi šalju šifrirani ključni materijal preko izvanpojasnog (odvojenog od zahtjeva) kanala.

Ulazni promet

Čvorovi Hybrid Data Security primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvorova

Konfigurirajte Squid proxy za hibridnu sigurnost podataka

Websocket se ne može povezati putem Squid Proxyja

Squid proxy serveri koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squid -a da ignoriraju wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali Hybrid Data Security sa sljedećim pravilima dodanim na squid .conf. Ova pravila su podložna promjenama dok razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Deaktivirajte hibridnu sigurnost podataka s više stanara

Tijek zadataka deaktivacije HDS-a s više stanara

Slijedite ove korake da biste potpuno deaktivirali HDS s više stanara.

Prije nego što počnete

Ovaj zadatak bi trebao obavljati samo puni administrator partnera.

1	Uklonite sve kupce iz svih svojih klastera, kao što je spomenuto u odjelj ku Ukloni organizacije stanara.
2	Opozovite CMK-ove svih kupaca, kao što je spomenuto u Povući CMK- ove stanara uklonjenih iz HDS-a. .
3	Uklonite sve čvorove iz svih klastera, kao što je spomenuto u Ukloni čvor.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeća dva načina. Kliknite klaster koji želite izbrisati i odaberite Iz briši ovaj klaster u gornjem desnom kutu stranice s pregledom. Na stranici Resursi kliknite na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici Pregled sigurnosti hibridnih podataka i kliknite Deaktiviraj HDS na kartici statusa HDS-a.

Često postavljana pitanja

Q. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO ili bazi podataka?

A. Glavni ključevi korisnika (CMK-ovi) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO.

P: Koristi li se jedan ključ za šifriranje svih podataka organizacija kupaca?

A. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK (Customer Main Key).

P: Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, odmah će biti pogođene. Postojeći sadržaj u prostorima bit će dostupan sve dok lokalna predmemorija ne istekne. Nakon 24 sata korisnici kojima upravlja partner prebacit će se na Cloud KMS, a mogu se pojaviti problemi s prethodno stvorenim prostorima i prostorima jedan na jedan.

P: Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS, počinju li korisnici organizacije korisnika odmah koristiti HDS s više stanara?

O. Može doći do maksimalnog kašnjenja od 24 sata za osvježavanje predmemorije oblaka.

P: Zašto ne vidim popis kupaca kada kliknem na gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje organizacije za korisnike koje ispunjavaju zahtjeve Cisco Webex za licencu.

P: Kakav je utjecaj ako su svi HDS čvorovi isključeni ili ako mrežni problem utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj dostupan je samo dok lokalna predmemorija ne istekne.

P: Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom izrade ISO?

A. Da. Trenutno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnere, slične CMK-ovima kupaca.

P: Mogu li partnerske organizacije i organizacije stanara biti u različitim regijama (recimo SAD-u i EU)?

A. Da. Partnerske i stanarske organizacije mogu se nalaziti u različitim geografskim regijama.

P: Postoji li mehanizam za pomicanje tipki natrag u Cloud KMS?

O. Ne postoji mehanizam za premještanje tipki natrag u oblak nakon implementacije HDS-a.

P: Može li partner nastaviti koristiti Cloud KMS i koristiti Multi-Tenant HDS isključivo za upravljanje kupcima?

O. Ne, to trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P: Kako partner može provjeriti koristi li njihova organizacija Multi-Tenant HDS za šifriranje?

A. Prijavite se na Partner Hub. Idite na U sluge > Hibridna sigurnost podataka> Post avke. Ako je aktiviran status HDS-a, korisnici partnerske organizacije kao i dodijeljeni kupci koriste HDS s više stanara.

Alternativno, možete provjeriti svoje syslogove kako biste provjerili je li HDS aktiviran. Pogledajte I spitivanje implementacije hibridne sigurnosti podataka.

P: Postoji li alternativa Docker Desktop za pokretanje HDS alata za postavljanje?

A. Da. Pod man Desktop je alternativa otvorenog koda Docker Desktop. Pogledajte Pokren ite alat za postavljanje HDS-a pomoću programa Podman Desktop.

P: Koliko čvorova mogu implementirati u HDS klaster s više stanara?

A. Preporučujemo najmanje dva čvora i najviše 1000 čvora.

P: Koji su mrežni zahtjevi potrebni za postavljanje HDS-a s više stanara?

A. Pogledajte Zah tjevi za vanjsko povezivanje.

P: Je li Pro Pack for Control Hub uvjet za partnerske organizacije?

A. Ne. Pro Pack nije uvjet za partnerske organizacije. Obratite se svom Ciscovom partneru ili upravitelju računa za pomoć pri postavljanju HDS-a s više stanara.

P: Da li je HSM podržan u HDS-u s više stanara?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P: Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

A. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u zahtjevima X.50 9 certifikata.

P: Je li potrebno montirati ISO svaki put kada se novi kupac doda u Partner Hub?

A. Ne. ISO se mora montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika na Partner Hub provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Iz rada glavnih ključeva korisnika (CMK-ova) pomoću alata za postavljanje HDS-a.

P: Nakon što je Multi-Tenant HDS implementiran na Partner Hub, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon aktiviranja HDS-a u Partner Hubu.

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
16. travnja 2026.	Ažurirani su zahtjevi poslužitelja baze podataka radi dodavanja podrške za PostgreSQL verzije 17 i 18.
25. ožujka 2026.	Ažurirana je zadana lozinka koja se koristi za prijavu na virtualni stroj čvora Hybrid Data Security.
5. prosinca 2025.	Ažurirano Izradite ISO konfiguraciju za HDS hostove s ispravnim tekstom korisničkog sučelja na stranici Sistemski zapisnici i dodana je uputa za prijenos korijenskog certifikata sysloga prilikom konfiguriranja TLS enkripcije.
21. studenog 2025.	Dodan je odjeljak Često postavljana pitanja. Dodani su odjeljci Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe i Oporavak od katastrofe pomoću rezervnog podatkovnog centra. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani su Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

O. Glavni ključevi korisnika (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO datoteci.

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

O. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK-om (glavnim ključem korisnika).

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, bit će odmah pogođene. Postojeći sadržaj u prostorima bit će dostupan dok ne istekne lokalna predmemorija. Nakon 24 sata, korisnici kojima upravlja partner prijeći će na Cloud KMS, a mogu se pojaviti problemi s prethodno kreiranim prostorima i prostorima jedan na jedan.

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

O. Osvježavanje predmemorije u oblaku može trajati maksimalno 24 sata.

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje korisničke organizacije koje ispunjavaju Cisco Webex licencne zahtjeve.

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj je dostupan samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

A. Da. Trenutačno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnera, slične CMK-ovima kupaca.

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

A. Da. Partnerske i zakupne organizacije mogu se nalaziti u različitim geografskim regijama.

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

O. Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partnerski centar. Idi na Usluge > Hibridna sigurnost podataka > Postavke . Ako je status HDS-a aktiviran, korisnici partnerske organizacije, kao i dodijeljeni klijenti, koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste potvrdili da je HDS aktiviran. Pogledajte Testiranje implementacije sigurnosti hibridnih podataka.

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

A. Da. Podman Desktop je alternativa otvorenog koda za Docker Desktop. Pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

O. Preporučujemo minimalno dva čvora, a maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

O. Vidi Zahtjevi za vanjsku povezivost.

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

O. Ne. Pro paket nije uvjet za partnerske organizacije. Za pomoć pri postavljanju Multi-Tenant HDS-a obratite se svom Cisco partneru ili voditelju računa.

P. Je li HSM podržan u Multi-Tenant HDS-u?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u X.509 zahtjevima za certifikat.

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

O. Ne. ISO je potrebno montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika u Partner Hub, provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a.

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon što se HDS aktivira u Partner Hubu.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potreban je administrator partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom hibridne sigurnosti podataka za više zakupaca.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja visoke razine

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odjaviti, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavite rezervni podatkovni centar za oporavak od katastrofe

Slijedite korake u nastavku za konfiguriranje ISO datoteke rezervnog podatkovnog centra:

Prije početka

Rezervni podatkovni centar trebao bi odražavati produkcijsko okruženje virtualnih strojeva i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala. (Pregled ovog modela prebacivanja u slučaju kvara potražite u Rezervni podatkovni centar za oporavak od katastrofe.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće obrađivati promet. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite syslogove kako biste potvrdili da su čvorovi u pasivnom načinu rada. U syslogovima biste trebali moći vidjeti poruku „KMS konfiguriran u pasivnom načinu rada“.

Što učiniti sljedeće

Nakon što konfigurirate passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog passiveMode može pomoći u brzom procesu prebacivanja na drugi sustav tijekom oporavka od katastrofe. Detaljan postupak prebacivanja u slučaju kvara pogledajte u Oporavak od katastrofe korištenjem podatkovnog centra u stanju pripravnosti.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Novi i promijenjeni podaci

Ova tablica obuhvaća nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne zaštite podataka za više klijenata.

Datum	Izvršene promjene
13. prosinca 2024.	Prvo izdanje.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadatka deaktivacije HDS-a za više klijenata

Slijedite ove korake kako biste u potpunosti deaktivirali HDS za više klijenata.

Prije početka

Ovaj bi zadatak trebao izvršiti samo potpuni partnerski administrator.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je navedeno u odjeljku Uklanjanje organizacija klijenta.
2	Povucite CMK-ove svih korisnika, kao što je navedeno u odjeljku Povucite CMK-ove klijenata uklonjene iz HDS-a..
3	Uklonite sve čvorove iz svih klastera, kao što je navedeno u odjeljku Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz okruženja Partner Hub pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite… na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici pregleda hibridne zaštite podataka i kliknite Deaktiviraj HDS na kartici HDS status.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka za više klijenata

Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Hibridna zaštita podataka za više klijenata organizacijama omogućuje upotrebu HDS-a putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ovo postavljanje omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i po potrebi stvaraju HDS klastere. Svaka instanca može podržavati više korisničkih organizacija za razliku od uobičajene HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Taj je pristup ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna zaštita podataka s više klijenata osigurava suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje korisnika s kojima već imaju uspostavljeni odnos.
mogućnost za lokalnu tehničku podršku, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Cilj je ovog dokumenta pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u sustavu hibridne zaštite podataka za više klijenata.

Uloge u hibridnoj zaštiti podataka s više klijenata

Potpuni partnerski administrator – može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Partnerski administrator – može upravljati postavkama za korisnike koje je administrator dodijelio ili koje su dodijeljene korisniku.
Potpuni administrator – administrator partnerske organizacije koja je ovlaštena za izvršavanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjela uloga.

Sveobuhvatno postavljanje HDS-a za više klijenata i upravljanje svim organizacijama korisnika – potrebna su prava potpunog partnerskog administratora i prava potpunog administratora.
Upravljanje dodijeljenim organizacijama klijenata – potrebna su prava partnerskog administratora i potpunog administratora.

Arhitektura sigurnosnog područja

Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.

***Područja odvajanja (bez hibridne zaštite podataka)***

Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju certifikata x.509 za upotrebu s implementacijom hibridne zaštite podataka za više klijenata potražite u članku Priprema okruženja.

Očekivanja za implementaciju hibridne zaštite podataka

Implementacija hibridne zaštite podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s vlastitim ključevima za šifriranje.

Da biste implementirali hibridnu zaštitu podataka, morate navesti:

Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Oprema, softver i pristup mreži opisani u poglavlju Priprema vašeg okruženja.

Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.

Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka za više klijenata:

Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, izgradnju HDS klastera, dodavanje organizacija klijenata u klaster i upravljanje glavnim ključevima korisnika (CMK-ovi). Time ćete svim korisnicima vaših korisničkih organizacija omogućiti upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Partner Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Model implementacije hibridne zaštite podataka

Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)

Model implementacije hibridne zaštite podataka

Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)

Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.

Čvorovi se aktiviraju kada ih registrirate u okruženju Partner Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.

Podatkovni centar u pripravnosti za oporavak od katastrofa

Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.

Prije prebacivanja u slučaju pogreške, podatkovni centar A ima aktivne HDS čvorove i primarnu bazu podataka PostgreSQL ili Microsoft SQL Server, dok B ima kopiju ISO datoteke s dodatnim konfiguracijama, VM-ovima koji su registrirani u organizaciju i bazu podataka pripravnosti. Nakon prebacivanja u slučaju pogreške, podatkovni centar B ima aktivne HDS čvorove i primarnu bazu podataka, dok A ima neregistrirane VM-ove i kopiju ISO datoteke, a baza je u stanju pripravnosti. — ***Ručno prebacivanje u podatkovni centar u pripravnosti***

Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške.

Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
2. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – nije potrebna dodatna provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi certifikata X.509 za implementaciju hibridne zaštite podataka
Uvjet	Pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, npr. `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS br. 12 zaštićena lozinkom Koristite prilagođeni naziv `kms-privatnog ključa` kako biste označili certifikat, privatni ključ i sve međucertifikate za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
Instaliran i pokrenut je VMware ESXi 6.5 (ili noviji).

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017 ili 2019 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i Kumulativno ažuriranje 2 ili novije verzije.
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)	Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge WebexMrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite je li za vašu partnersku organizaciju omogućena značajka HDS za više klijenata i preuzmite vjerodajnice računa s punim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve iz zahtjeva certifikata X.509.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje.
9	Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 6.5. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera, a zatim kliknite na Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna zaštita podataka, a zatim kliknite na Postavljanje.
3	Kliknite Dodaj resurs i kliknite Preuzmi datoteku .OVA na kartici Instaliraj i konfiguriraj softver . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć . Kliknite na Postavke > Pomoć > Preuzimanje softvera hibridne zaštite podataka. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
4	Opcionalno kliknite na Prikaži vodič o implementaciji hibridne zaštite podataka kako biste provjerili postoji li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

ciscocitg/hds-setup-fedramp: stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker povlačenje ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker povlačenje ciscocitg/hds-setup-fedramp: stabilan

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan

U uobičajenim okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan

U FedRAMP okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru http://127.0.0.1:8080i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Početak rada.

9

Na stranici ISO uvoza imate sljedeće mogućnosti:

Ne– ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da – ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite na Nastavi.
Ako je vaš certifikat u redu, kliknite na Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi upotrebljavati HDS lanac certifikata i privatni ključ iz prethodnog ISO standarda?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite na Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberite Vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL poslužitelj, dobit ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u polju Korisničko ime .
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u polju Korisničko ime .
Unesite adresu poslužitelja baze podataka u obrascu : ili :.

Primjer:
dbhost.primjer.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako koristite provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.primjer.org:1433
Unesite naziv baze podataka.
Unesite Korisničko ime i Lozinku korisnika sa svim privilegijama u bazu podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u polju Glavno računalo i ulaz baze podataka . Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava prijavu na Syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako svoj poslužitelj postavite za upotrebu TLS šifriranja, označite Je li vaš syslog poslužitelj konfiguriran za SSL šifriranje?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao tcp://10.92.43.23:514.
Na padajućem izborniku Odabir završetka zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null bajt -- \x00
- Novija linija -- \n– odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxVeličina: 10

15

Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga .

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Da biste zatvorili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberite Datoteka > Implementacija OVF predloška.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje.
4	Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje.
5	Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite na Dalje.
7	Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje.
8	Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM.
9	Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala– unesite FQDN (naziv glavnog računala i domenu) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije prelaziti 64 znaka. IP adresa– unesite IP adresu za unutarnje sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska– unesite adresu maske podmreže u točkasto-decimalnoj oznaci. Na primjer, 255.255.255.0. Pristupnik– unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji– unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji– unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 6.5. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključeno napajanje. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `administrator` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju .
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu Hardver kartice Konfiguracija kliknite na Pohrana.
Na popisu Trgovine podacima desnom tipkom miša kliknite na bazu podataka za svoje VM-ove, a zatim Pretraži bazu podataka.
Kliknite ikonu Prenesi datoteke, a zatim Prenesi datoteku.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite na Otvori.
Kliknite Da da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite na U redu da biste prihvatili upozorenje o ograničenim opcijama za uređivanje.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje s ISO datoteke podatkovnog centra i prijeđite na lokaciju gdje ste prenijeli ISO datoteku za konfiguraciju.
Označite Povezano i Poveži se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	U web-preglednik unesite URL za postavljanje HDS čvora `https://[HDS Node IP ili FQDN]/setup,` unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol– odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavljanje VM-a hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Postavi.
4	Na stranici koja se otvara kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite na Idi na čvor. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na stranici Hibridna zaštita podataka u kartici Resursi prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comizborniku na lijevoj strani zaslona odaberite Usluge . U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Prikaži sve. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se na stranici Resursi . Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite na Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite na Dodaj. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Skočna poruka dodana čvor pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte HDS za više klijenata na Čvorištu partnera

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi upotrebljavati HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje HDS klastera za više klijenata s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke.
4	Kliknite na Aktiviraj HDS na kartici Status HDS .

Dodavanje organizacija klijenta u Čvorište partnera

U ovom zadatku dodijelite organizacije korisnika svom klasteru hibridne zaštite podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Kliknite na klaster kojem želite da se dodijeli korisnik.
5	Otvorite karticu Dodijeljeni korisnici .
6	Kliknite na Dodaj korisnike.
7	Na padajućem izborniku odaberite korisnika kojeg želite dodati.
8	Kliknite na Dodaj, korisnik će se dodati u klaster.
9	Ponovite korake od 6 do 8 kako biste dodali više korisnika u svoj klaster.
10	Kliknite na Gotovo pri dnu zaslona nakon što dodate korisnike.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je opisano u odjeljku Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a kako biste dovršili postupak postavljanja.

Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kao što je navedeno u odjeljku Dodavanje organizacija klijenta u okruženju Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte vezu sa svojom bazom podataka kako biste izvršili CMK upravljanje.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Izradi CMK za sve organizacije ili Izradi CMK – kliknite taj gumb na natpisu na vrhu zaslona da biste izradili CMK-ove za sve novododane organizacije. Kliknite na gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite na Izradi CMK-ove da biste izradili CMK-ove za sve novododane organizacije. Kliknite na više od statusa određene organizacije na čekanju za upravljanje CMK-om, a zatim kliknite na Izradi CMK da biste izradili CMK za tu organizaciju.
12	Nakon uspješne izrade CMK-a, status tablice promijenit će se iz CMK upravljanja na čekanju u CMK upravljano.
13	Ako izrada CMK-a nije uspjela, prikazat će se pogreška.

Ukloni organizacije klijenta

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Na kartici Resursi kliknite klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni korisnici.
6	Na popisu korisničkih organizacija koje se prikazuju kliknite ... na desnoj strani korisničke organizacije koju želite ukloniti i kliknite na Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivanjem CMK-ova korisničkih organizacija kao što je navedeno u odjeljku Opoziv CMK-ova klijenata uklonjenih iz HDS-a.

Povucite CMK-ove klijenata uklonjene iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera u skladu s uputama iz odjeljka Uklanjanje organizacija klijenta. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Uskraćivanje CMK-a za sve organizacije ili Uskraćivanje CMK-a – kliknite ovaj gumb na natpisu na vrhu zaslona da biste uskratili CMK-ove svih uklonjenih organizacija. Kliknite na gumb Upravljaj CMK-ovima na desnoj strani zaslona i kliknite na Opoziv CMK-ova da biste opozvali CMK-ove svih uklonjenih organizacija. Kliknite … u blizini CMK za opoziv status određene organizacije u tablici i kliknite Uskrati CMK za opoziv CMK-a za tu određenu organizaciju.
12	Nakon uspješnog opoziva CMK-a, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspio, prikazat će se pogreška.

Testiranje implementacije hibridne zaštite podataka

Upotrijebite ovaj postupak za testiranje scenarija šifriranja hibridne zaštite podataka s više klijenata.

Prije početka

Postavite implementaciju hibridne zaštite podataka za više klijenata.
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka za više klijenata.

1

Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika i zatim izradite prostor.

Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici izrađuju više neće biti dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta.

2

Šaljite poruke u novi prostor.

3

Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka.

Da biste provjerili da korisnik prvo uspostavi siguran kanal prema KMS-u, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2020-07-21 17:35:34.562 (+0000) INFORMACIJE KMS [pool-14-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Da biste provjerili korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:19.889 (+0000) INFORMACIJE KMS [pool-14-thread-31] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KLJUČ, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:21.975 (+0000) INFORMACIJE KMS [pool-14-thread-33] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE KLJUČA_KLJUČA, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog objekta resursa KMS-a (KRO) nakon izrade prostora ili drugog zaštićenog resursa, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:22.808 (+0000) INFORMACIJE KMS [pool-15-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE RESURSA_, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Praćenje stanja hibridne zaštite podataka

Pokazatelj statusa u okruženju Partner Hub pokazuje je li sve u redu s implementacijom hibridne zaštite podataka za više klijenata. Za proaktivno upozorenje registrirajte se za obavijesti e-poštom. Dobit ćete obavijest kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U okruženju Partner Hubodaberite Usluge na izborniku s lijeve strane zaslona.
2	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu zaštitu podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se izvršavaju u skladu s rasporedom nadogradnje za klaster. Kad nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili upotrijebiti zadani raspored 3:00 ujutro, dnevno, Sjedinjene Američke Države: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Postavi
4	Na stranici Resursi hibridne zaštite podataka odaberite klaster.
5	Kliknite karticu Postavke klastera .
6	Na stranici postavki klastera, u izborniku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora partnera.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno slušanje poslužitelja na priključku 8080". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Kada se to od vas zatraži, unesite vjerodajnice za prijavu korisnika u Partner Hub i zatim kliknite na Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Da biste zatvorili alat za postavljanje, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u okruženju Partner Hub.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD pogon 1`, odaberite mogućnost spremanja iz ISO datoteke i pronađite mjesto na koje ste preuzeli novu konfiguracijsku ISO datoteku. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Ovaj postupak upotrijebite za uklanjanje čvora hibridne zaštite podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualno računalo kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo.

2

Ukloni čvor:

Prijavite se u Čvorište partnera, a zatim odaberite Usluge.
Na kartici hibridne zaštite podataka kliknite na Prikaži sve kako biste prikazali stranicu Resursi hibridne zaštite podataka.
Odaberite klaster za prikaz ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Poništi registraciju ovog čvora na ploči koja se pojavljuje s desne strane
Također možete poništiti registraciju čvora klikom na… na desnoj strani čvora i odabirom opcije Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.)

Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti

Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.

Prije početka

Poništite registraciju svih čvorova iz okruženja Partner Hub kao što je navedeno u odjeljku Uklanjanje čvora. Upotrijebite najnoviju ISO datoteku koja je konfigurirana s čvorovima klastera koji je prethodno bio aktivan kako biste izvršili postupak prebacivanja naveden u nastavku.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta.
7	Registrirajte čvor u okruženju Partner Hub. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti.

Što učiniti sljedeće

Nakon prebacivanja u slučaju pogreške, ako primarni podatkovni centar ponovno postane aktivan, poništite registraciju čvorova podatkovnog centra u pripravnosti i ponovite postupak konfiguriranja ISO-a i registriranja čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Ukloni ISO nakon HDS konfiguracije

Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteke podatkovnog centra.
4	Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta.
5	Ponovi za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:

Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
Dešifriranje poruka i naziva prostora nije uspjelo za:
- Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
- Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavljanjem hibridne zaštite podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje poruke e-pošte na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Tablica 1. Zajednički problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom.
Pogreška pri povezivanju lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge.
Pogreška pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku.
Prekinuta je registracija usluge u oblaku.	Registracija za usluge u oblaku prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u okruženju Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Provjera autentičnosti za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Otvaranje datoteke lokalne tipkovnice nije uspjelo.	Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice.
Certifikat lokalnog poslužitelja nije valjan.	Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata.
Ne može se objaviti metrika.	Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku.
Direktorij /media/configdrive/hds ne postoji.	Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira.
Postavljanje organizacije klijenta nije dovršeno za dodane organizacije	Dovršite postavljanje izradom CMK-a za novododane organizacije klijenata pomoću alata za postavljanje HDS-a.
Postavljanje organizacije klijenta nije dovršeno za uklonjene organizacije	Dovršite postavljanje povlačenjem CMK-a organizacija klijenta koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema sigurnosti hibridnih podataka

Upotrijebite sljedeće opće smjernice pri rješavanju problema s hibridnom sigurnošću podataka.

1	Pregledajte okruženje Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Pogledajte sliku u nastavku za referencu.
2	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. Filtrirajte riječi kao što su "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
3	Obratite se Ciscovoj podršci.

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Partner Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, korisnici aplikacije Webex u korisničkim organizacijama više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat).

Upotrijebite OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite pojedinosti. `openssl x509 -tekst -noout -u hdsnode.pem`
3	Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i korijenske CA certifikate, u sljedećem formatu: `----BEGIN CERTIFIKAT------ ### Certifikat poslužitelja. ### -----END CERTIFIKAT------------BEGIN CERTIFIKAT------ ### Srednji CA certifikat. ### -----END CERTIFIKAT-------------BEGIN CERTIFIKAT----- ### Korijenski CA certifikat. ### -----END CERTIFIKAT------`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -izvoz -inkey hdsnode.key -u hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite pojedinosti certifikata poslužitelja. `openssl pkcs12 -u hdsnode.p12` Nakon upita unesite lozinku za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat linije `friendlyName: kms-privatni ključ`. Primjer: bash$ openssl pkcs12 -u hdsnode.p12 Unesite lozinku za uvoz: Mac je potvrdio OK Bag atributi prijateljski prilagođeniName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ključni atributi: Unesite PEM lozinku: Provjera – unesite PEM lozinku: -----POČETAK ŠIFRIRANOG PRIVATNOG KLJUČA----- -----END ŠIFRIRANI PRIVATNI KLJUČ------- Torba Atributi friendlyName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Pokušajmo šifrirati ovlaštenje X3,O=Pokušajmo šifrirati,C=US subject=/C=US/O=Pokušajmo šifrirati ovlaštenje X3 izdavač=/O=Digitalni potpis Trust Co./CN=DST Root CA X3 ------BEGIN CERTIFIKAT----- -----END CERTIFIKAT----

Što učiniti sljedeće

Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u odjeljku Izrada ISO konfiguracije za HDS organizatore.

Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlazne metrike

Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku o sinkroniziranim i asinkronim niti; metriku o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku o datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).

Dolazni promet

Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
Nadogradnje softvera čvora

Konfiguriranje proxyja lignji za sigurnost hibridnih podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavu websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol direktivu u squid.conf:

on_unsupported_protocol tunel sve

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl:server_name_regex živin-veza ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump korak1 sve ssl_bump gleda korak2 sve ssl_bump korak3 sve

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 ili 18, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

Upravljački program SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	Uobičajeni URL-ovi hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite ima li vaša partnerska organizacija omogućenu značajku Multi-Tenant HDS i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu pouzdanih podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Ne nastavljajte s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je upisati naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovore/rukovanje?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514i prenijeli korijenski certifikat sysloga.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na svom računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu ] kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite čvor VM-a, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi mogli trebati napraviti promjene. Pobrinite se da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve koji se primaju od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Stvori novi klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočni prozor također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Za stvaranje dodatnih klastera prijavite se u Partner Hub i kliknite Usluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku kako biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS-a.

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije kupaca svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu Dodijeljeni korisnici. Kartica Dodijeljeni korisnici neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj korisnike.
6	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
7	Kliknite Dodaj, korisnik će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više korisnika u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce. Dodani korisnici bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite kupce kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite pored statusa čekanja upravljanja CMK-om za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodijeljeni kupci.
5	S popisa prikazanih organizacija korisnika kliknite s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Odjavi čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju `passiveMode` kako biste čvor učinili aktivnim. Čvor može obraditi promet nakon što je ovo konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite izlaz syslog-a kako biste potvrdili da čvorovi podatkovnog centra u stanju pripravnosti nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada“ ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon prebacivanja na drugi način rada, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite rezervni podatkovni centar u pasivni način rada slijedeći korake opisane u Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prime promjene konfiguracije, možete ponovno odmontirati ISO datoteku ovim postupkom.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
5	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
6	Kontaktirajte Cisco podršku.

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop se može preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odregistrirajte čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijavite se u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Stvori klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	Kliknite na karticu Dodijeljeni korisnici.
10	Kliknite Dodaj korisnike.
11	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
12	Kliknite Dodaj, korisnik će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike o sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike o spremištu podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet za ispravan rad usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Novi i promijenjeni podaci

Ova tablica obuhvaća nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne zaštite podataka za više klijenata.

Datum	Izvršene promjene
08. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klikom na Postavljanje na HDS kartici u okruženju Partner Hub važan korak u postupku instalacije.
07. siječnja 2025.	Ažurirani zahtjevi virtualnog glavnog računala, tijek zadatka implementacije hibridne zaštite podataka i instalirajte HDS glavno računalo OVA za prikaz novih zahtjeva za ESXi 7.0.
13. prosinca 2024.	Prvo objavljeno.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadatka deaktivacije HDS-a za više klijenata

Slijedite ove korake kako biste u potpunosti deaktivirali HDS za više klijenata.

Prije početka

Ovaj bi zadatak trebao izvršiti samo potpuni partnerski administrator.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je navedeno u odjeljku Uklanjanje organizacija klijenta.
2	Povucite CMK-ove svih korisnika, kao što je navedeno u odjeljku Povucite CMK-ove klijenata uklonjene iz HDS-a..
3	Uklonite sve čvorove iz svih klastera, kao što je navedeno u odjeljku Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz okruženja Partner Hub pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite… na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici pregleda hibridne zaštite podataka i kliknite Deaktiviraj HDS na kartici HDS status.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka za više klijenata

Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Hibridna zaštita podataka za više klijenata organizacijama omogućuje upotrebu HDS-a putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ovo postavljanje omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i po potrebi stvaraju HDS klastere. Svaka instanca može podržavati više korisničkih organizacija za razliku od uobičajene HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Taj je pristup ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna zaštita podataka s više klijenata osigurava suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje korisnika s kojima već imaju uspostavljeni odnos.
mogućnost za lokalnu tehničku podršku, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Cilj je ovog dokumenta pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u sustavu hibridne zaštite podataka za više klijenata.

Uloge u hibridnoj zaštiti podataka s više klijenata

Potpuni partnerski administrator – može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Partnerski administrator – može upravljati postavkama za korisnike koje je administrator dodijelio ili koje su dodijeljene korisniku.
Potpuni administrator – administrator partnerske organizacije koja je ovlaštena za izvršavanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjela uloga.

Sveobuhvatno postavljanje HDS-a za više klijenata i upravljanje svim organizacijama korisnika – potrebna su prava potpunog partnerskog administratora i prava potpunog administratora.
Upravljanje dodijeljenim organizacijama klijenata – potrebna su prava partnerskog administratora i potpunog administratora.

Arhitektura sigurnosnog područja

Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.

Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju certifikata x.509 za upotrebu s implementacijom hibridne zaštite podataka za više klijenata potražite u članku Priprema okruženja.

Očekivanja za implementaciju hibridne zaštite podataka

Implementacija hibridne zaštite podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s vlastitim ključevima za šifriranje.

Da biste implementirali hibridnu zaštitu podataka, morate navesti:

Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Oprema, softver i pristup mreži opisani u poglavlju Priprema vašeg okruženja.

Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.

Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka za više klijenata:

Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, izgradnju HDS klastera, dodavanje organizacija klijenata u klaster i upravljanje glavnim ključevima korisnika (CMK-ovi). Time ćete svim korisnicima vaših korisničkih organizacija omogućiti upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Partner Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Model implementacije hibridne zaštite podataka

Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)

Model implementacije hibridne zaštite podataka

Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)

Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.

Čvorovi se aktiviraju kada ih registrirate u okruženju Partner Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.

Podatkovni centar u pripravnosti za oporavak od katastrofa

Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.

Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške.

Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
2. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – nije potrebna dodatna provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi certifikata X.509 za implementaciju hibridne zaštite podataka
Uvjet	Pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, npr. `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS br. 12 zaštićena lozinkom Koristite prilagođeni naziv `kms-privatnog ključa` kako biste označili certifikat, privatni ključ i sve međucertifikate za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
Instaliran i pokrenut je VMware ESXi 7.0 (ili noviji).

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017 ili 2019 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i Kumulativno ažuriranje 2 ili novije verzije.
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)	Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge WebexMrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite je li za vašu partnersku organizaciju omogućena značajka HDS za više klijenata i preuzmite vjerodajnice računa s punim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve iz zahtjeva certifikata X.509.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje.
9	Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera, a zatim kliknite na Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna zaštita podataka, a zatim kliknite na Postavljanje. Klikom na Postavljanje u okruženju Partner Hub ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršavanja ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi datoteku .OVA na kartici Instaliraj i konfiguriraj softver . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć . Kliknite na Postavke > Pomoć > Preuzimanje softvera hibridne zaštite podataka. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
4	Opcionalno kliknite na Prikaži vodič o implementaciji hibridne zaštite podataka kako biste provjerili postoji li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

ciscocitg/hds-setup-fedramp: stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker povlačenje ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker povlačenje ciscocitg/hds-setup-fedramp: stabilan

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan

U uobičajenim okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan

U FedRAMP okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru http://127.0.0.1:8080i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Početak rada.

9

Na stranici ISO uvoza imate sljedeće mogućnosti:

Ne– ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da – ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite na Nastavi.
Ako je vaš certifikat u redu, kliknite na Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi upotrebljavati HDS lanac certifikata i privatni ključ iz prethodnog ISO standarda?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite na Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberite Vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL poslužitelj, dobit ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u polju Korisničko ime .
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u polju Korisničko ime .
Unesite adresu poslužitelja baze podataka u obrascu : ili :.

Primjer:
dbhost.primjer.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako koristite provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.primjer.org:1433
Unesite naziv baze podataka.
Unesite Korisničko ime i Lozinku korisnika sa svim privilegijama u bazu podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u polju Glavno računalo i ulaz baze podataka . Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava prijavu na Syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako svoj poslužitelj postavite za upotrebu TLS šifriranja, označite Je li vaš syslog poslužitelj konfiguriran za SSL šifriranje?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao tcp://10.92.43.23:514.
Na padajućem izborniku Odabir završetka zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null bajt -- \x00
- Novija linija -- \n– odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxVeličina: 10

15

Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga .

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Da biste zatvorili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberite Datoteka > Implementacija OVF predloška.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje.
4	Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje.
5	Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite na Dalje.
7	Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje.
8	Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM.
9	Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala– unesite FQDN (naziv glavnog računala i domenu) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije prelaziti 64 znaka. IP adresa– unesite IP adresu za unutarnje sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska– unesite adresu maske podmreže u točkasto-decimalnoj oznaci. Na primjer, 255.255.255.0. Pristupnik– unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji– unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji– unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključeno napajanje. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `administrator` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju .
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu Hardver kartice Konfiguracija kliknite na Pohrana.
Na popisu Trgovine podacima desnom tipkom miša kliknite na bazu podataka za svoje VM-ove, a zatim Pretraži bazu podataka.
Kliknite ikonu Prenesi datoteke, a zatim Prenesi datoteku.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite na Otvori.
Kliknite Da da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite na U redu da biste prihvatili upozorenje o ograničenim opcijama za uređivanje.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje s ISO datoteke podatkovnog centra i prijeđite na lokaciju gdje ste prenijeli ISO datoteku za konfiguraciju.
Označite Povezano i Poveži se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	U web-preglednik unesite URL za postavljanje HDS čvora `https://[HDS Node IP ili FQDN]/setup,` unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol– odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavljanje VM-a hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Postavi.
4	Na stranici koja se otvara kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite na Idi na čvor. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na stranici Hibridna zaštita podataka u kartici Resursi prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comizborniku na lijevoj strani zaslona odaberite Usluge . U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Prikaži sve. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se na stranici Resursi . Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite na Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite na Dodaj. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Skočna poruka dodana čvor pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte HDS za više klijenata na Čvorištu partnera

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi upotrebljavati HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje HDS klastera za više klijenata s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke.
4	Kliknite na Aktiviraj HDS na kartici Status HDS .

Dodavanje organizacija klijenta u Čvorište partnera

U ovom zadatku dodijelite organizacije korisnika svom klasteru hibridne zaštite podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Kliknite na klaster kojem želite da se dodijeli korisnik.
5	Otvorite karticu Dodijeljeni korisnici .
6	Kliknite na Dodaj korisnike.
7	Na padajućem izborniku odaberite korisnika kojeg želite dodati.
8	Kliknite na Dodaj, korisnik će se dodati u klaster.
9	Ponovite korake od 6 do 8 kako biste dodali više korisnika u svoj klaster.
10	Kliknite na Gotovo pri dnu zaslona nakon što dodate korisnike.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je opisano u odjeljku Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a kako biste dovršili postupak postavljanja.

Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kao što je navedeno u odjeljku Dodavanje organizacija klijenta u okruženju Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte vezu sa svojom bazom podataka kako biste izvršili CMK upravljanje.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Izradi CMK za sve organizacije ili Izradi CMK – kliknite taj gumb na natpisu na vrhu zaslona da biste izradili CMK-ove za sve novododane organizacije. Kliknite na gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite na Izradi CMK-ove da biste izradili CMK-ove za sve novododane organizacije. Kliknite na više od statusa određene organizacije na čekanju za upravljanje CMK-om, a zatim kliknite na Izradi CMK da biste izradili CMK za tu organizaciju.
12	Nakon uspješne izrade CMK-a, status tablice promijenit će se iz CMK upravljanja na čekanju u CMK upravljano.
13	Ako izrada CMK-a nije uspjela, prikazat će se pogreška.

Ukloni organizacije klijenta

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Na kartici Resursi kliknite klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni korisnici.
6	Na popisu korisničkih organizacija koje se prikazuju kliknite ... na desnoj strani korisničke organizacije koju želite ukloniti i kliknite na Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivanjem CMK-ova korisničkih organizacija kao što je navedeno u odjeljku Opoziv CMK-ova klijenata uklonjenih iz HDS-a.

Povucite CMK-ove klijenata uklonjene iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera u skladu s uputama iz odjeljka Uklanjanje organizacija klijenta. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Uskraćivanje CMK-a za sve organizacije ili Uskraćivanje CMK-a – kliknite ovaj gumb na natpisu na vrhu zaslona da biste uskratili CMK-ove svih uklonjenih organizacija. Kliknite na gumb Upravljaj CMK-ovima na desnoj strani zaslona i kliknite na Opoziv CMK-ova da biste opozvali CMK-ove svih uklonjenih organizacija. Kliknite … u blizini CMK za opoziv status određene organizacije u tablici i kliknite Uskrati CMK za opoziv CMK-a za tu određenu organizaciju.
12	Nakon uspješnog opoziva CMK-a, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspio, prikazat će se pogreška.

Testiranje implementacije hibridne zaštite podataka

Upotrijebite ovaj postupak za testiranje scenarija šifriranja hibridne zaštite podataka s više klijenata.

Prije početka

Postavite implementaciju hibridne zaštite podataka za više klijenata.
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka za više klijenata.

1

Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika i zatim izradite prostor.

Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici izrađuju više neće biti dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta.

2

Šaljite poruke u novi prostor.

3

Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka.

Da biste provjerili da korisnik prvo uspostavi siguran kanal prema KMS-u, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2020-07-21 17:35:34.562 (+0000) INFORMACIJE KMS [pool-14-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Da biste provjerili korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:19.889 (+0000) INFORMACIJE KMS [pool-14-thread-31] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KLJUČ, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:21.975 (+0000) INFORMACIJE KMS [pool-14-thread-33] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE KLJUČA_KLJUČA, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog objekta resursa KMS-a (KRO) nakon izrade prostora ili drugog zaštićenog resursa, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:22.808 (+0000) INFORMACIJE KMS [pool-15-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE RESURSA_, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Praćenje stanja hibridne zaštite podataka

Pokazatelj statusa u okruženju Partner Hub pokazuje je li sve u redu s implementacijom hibridne zaštite podataka za više klijenata. Za proaktivno upozorenje registrirajte se za obavijesti e-poštom. Dobit ćete obavijest kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U okruženju Partner Hubodaberite Usluge na izborniku s lijeve strane zaslona.
2	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu zaštitu podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se izvršavaju u skladu s rasporedom nadogradnje za klaster. Kad nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili upotrijebiti zadani raspored 3:00 ujutro, dnevno, Sjedinjene Američke Države: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Postavi
4	Na stranici Resursi hibridne zaštite podataka odaberite klaster.
5	Kliknite karticu Postavke klastera .
6	Na stranici postavki klastera, u izborniku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora partnera.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno slušanje poslužitelja na priključku 8080". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Kada se to od vas zatraži, unesite vjerodajnice za prijavu korisnika u Partner Hub i zatim kliknite na Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Da biste zatvorili alat za postavljanje, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u okruženju Partner Hub.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD pogon 1`, odaberite mogućnost spremanja iz ISO datoteke i pronađite mjesto na koje ste preuzeli novu konfiguracijsku ISO datoteku. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Ovaj postupak upotrijebite za uklanjanje čvora hibridne zaštite podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualno računalo kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo.

2

Ukloni čvor:

Prijavite se u Čvorište partnera, a zatim odaberite Usluge.
Na kartici hibridne zaštite podataka kliknite na Prikaži sve kako biste prikazali stranicu Resursi hibridne zaštite podataka.
Odaberite klaster za prikaz ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Poništi registraciju ovog čvora na ploči koja se pojavljuje s desne strane
Također možete poništiti registraciju čvora klikom na… na desnoj strani čvora i odabirom opcije Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.)

Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti

Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.

Prije početka

Poništite registraciju svih čvorova iz okruženja Partner Hub kao što je navedeno u odjeljku Uklanjanje čvora. Upotrijebite najnoviju ISO datoteku koja je konfigurirana s čvorovima klastera koji je prethodno bio aktivan kako biste izvršili postupak prebacivanja naveden u nastavku.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta.
7	Registrirajte čvor u okruženju Partner Hub. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti.

Što učiniti sljedeće

Nakon prebacivanja u slučaju pogreške, ako primarni podatkovni centar ponovno postane aktivan, poništite registraciju čvorova podatkovnog centra u pripravnosti i ponovite postupak konfiguriranja ISO-a i registriranja čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Ukloni ISO nakon HDS konfiguracije

Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteke podatkovnog centra.
4	Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta.
5	Ponovi za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:

Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
Dešifriranje poruka i naziva prostora nije uspjelo za:
- Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
- Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavljanjem hibridne zaštite podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje poruke e-pošte na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Tablica 1. Zajednički problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom.
Pogreška pri povezivanju lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge.
Pogreška pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku.
Prekinuta je registracija usluge u oblaku.	Registracija za usluge u oblaku prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u okruženju Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Provjera autentičnosti za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Otvaranje datoteke lokalne tipkovnice nije uspjelo.	Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice.
Certifikat lokalnog poslužitelja nije valjan.	Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata.
Ne može se objaviti metrika.	Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku.
Direktorij /media/configdrive/hds ne postoji.	Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira.
Postavljanje organizacije klijenta nije dovršeno za dodane organizacije	Dovršite postavljanje izradom CMK-a za novododane organizacije klijenata pomoću alata za postavljanje HDS-a.
Postavljanje organizacije klijenta nije dovršeno za uklonjene organizacije	Dovršite postavljanje povlačenjem CMK-a organizacija klijenta koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema sigurnosti hibridnih podataka

Upotrijebite sljedeće opće smjernice pri rješavanju problema s hibridnom sigurnošću podataka.

1	Pregledajte okruženje Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Pogledajte sliku u nastavku za referencu.
2	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. Filtrirajte riječi kao što su "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
3	Obratite se Ciscovoj podršci.

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Partner Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, korisnici aplikacije Webex u korisničkim organizacijama više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat).

Upotrijebite OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite pojedinosti. `openssl x509 -tekst -noout -u hdsnode.pem`
3	Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i korijenske CA certifikate, u sljedećem formatu: `----BEGIN CERTIFIKAT------ ### Certifikat poslužitelja. ### -----END CERTIFIKAT------------BEGIN CERTIFIKAT------ ### Srednji CA certifikat. ### -----END CERTIFIKAT-------------BEGIN CERTIFIKAT----- ### Korijenski CA certifikat. ### -----END CERTIFIKAT------`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -izvoz -inkey hdsnode.key -u hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite pojedinosti certifikata poslužitelja. `openssl pkcs12 -u hdsnode.p12` Nakon upita unesite lozinku za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat linije `friendlyName: kms-privatni ključ`. Primjer: bash$ openssl pkcs12 -u hdsnode.p12 Unesite lozinku za uvoz: Mac je potvrdio OK Bag atributi prijateljski prilagođeniName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ključni atributi: Unesite PEM lozinku: Provjera – unesite PEM lozinku: -----POČETAK ŠIFRIRANOG PRIVATNOG KLJUČA----- -----END ŠIFRIRANI PRIVATNI KLJUČ------- Torba Atributi friendlyName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Pokušajmo šifrirati ovlaštenje X3,O=Pokušajmo šifrirati,C=US subject=/C=US/O=Pokušajmo šifrirati ovlaštenje X3 izdavač=/O=Digitalni potpis Trust Co./CN=DST Root CA X3 ------BEGIN CERTIFIKAT----- -----END CERTIFIKAT----

Što učiniti sljedeće

Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u odjeljku Izrada ISO konfiguracije za HDS organizatore.

Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlazne metrike

Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku o sinkroniziranim i asinkronim niti; metriku o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku o datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).

Dolazni promet

Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
Nadogradnje softvera čvora

Konfiguriranje proxyja lignji za sigurnost hibridnih podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavu websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol direktivu u squid.conf:

on_unsupported_protocol tunel sve

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl:server_name_regex živin-veza ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump korak1 sve ssl_bump gleda korak2 sve ssl_bump korak3 sve

Novi i promijenjeni podaci

Ova tablica obuhvaća nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne zaštite podataka za više klijenata.

Datum	Izvršene promjene
08. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klikom na Postavljanje na HDS kartici u okruženju Partner Hub važan korak u postupku instalacije.
07. siječnja 2025.	Ažurirani zahtjevi virtualnog glavnog računala, tijek zadatka implementacije hibridne zaštite podataka i instalirajte HDS glavno računalo OVA za prikaz novih zahtjeva za ESXi 7.0.
13. prosinca 2024.	Prvo objavljeno.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadatka deaktivacije HDS-a za više klijenata

Slijedite ove korake kako biste u potpunosti deaktivirali HDS za više klijenata.

Prije početka

Ovaj bi zadatak trebao izvršiti samo potpuni partnerski administrator.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je navedeno u odjeljku Uklanjanje organizacija klijenta.
2	Povucite CMK-ove svih korisnika, kao što je navedeno u odjeljku Povucite CMK-ove klijenata uklonjene iz HDS-a..
3	Uklonite sve čvorove iz svih klastera, kao što je navedeno u odjeljku Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz okruženja Partner Hub pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite… na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici pregleda hibridne zaštite podataka i kliknite Deaktiviraj HDS na kartici HDS status.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka za više klijenata

Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Hibridna zaštita podataka za više klijenata organizacijama omogućuje upotrebu HDS-a putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ovo postavljanje omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i po potrebi stvaraju HDS klastere. Svaka instanca može podržavati više korisničkih organizacija za razliku od uobičajene HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Taj je pristup ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna zaštita podataka s više klijenata osigurava suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje korisnika s kojima već imaju uspostavljeni odnos.
mogućnost za lokalnu tehničku podršku, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Cilj je ovog dokumenta pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u sustavu hibridne zaštite podataka za više klijenata.

Uloge u hibridnoj zaštiti podataka s više klijenata

Potpuni partnerski administrator – može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Partnerski administrator – može upravljati postavkama za korisnike koje je administrator dodijelio ili koje su dodijeljene korisniku.
Potpuni administrator – administrator partnerske organizacije koja je ovlaštena za izvršavanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjela uloga.

Sveobuhvatno postavljanje HDS-a za više klijenata i upravljanje svim organizacijama korisnika – potrebna su prava potpunog partnerskog administratora i prava potpunog administratora.
Upravljanje dodijeljenim organizacijama klijenata – potrebna su prava partnerskog administratora i potpunog administratora.

Arhitektura sigurnosnog područja

Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.

Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju certifikata x.509 za upotrebu s implementacijom hibridne zaštite podataka za više klijenata potražite u članku Priprema okruženja.

Očekivanja za implementaciju hibridne zaštite podataka

Implementacija hibridne zaštite podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s vlastitim ključevima za šifriranje.

Da biste implementirali hibridnu zaštitu podataka, morate navesti:

Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Oprema, softver i pristup mreži opisani u poglavlju Priprema vašeg okruženja.

Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.

Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka za više klijenata:

Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, izgradnju HDS klastera, dodavanje organizacija klijenata u klaster i upravljanje glavnim ključevima korisnika (CMK-ovi). Time ćete svim korisnicima vaših korisničkih organizacija omogućiti upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Partner Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Model implementacije hibridne zaštite podataka

Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)

Model implementacije hibridne zaštite podataka

Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)

Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.

Čvorovi se aktiviraju kada ih registrirate u okruženju Partner Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.

Podatkovni centar u pripravnosti za oporavak od katastrofa

Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.

Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške.

Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
2. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – nije potrebna dodatna provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi certifikata X.509 za implementaciju hibridne zaštite podataka
Uvjet	Pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, npr. `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS br. 12 zaštićena lozinkom Koristite prilagođeni naziv `kms-privatnog ključa` kako biste označili certifikat, privatni ključ i sve međucertifikate za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
Instaliran i pokrenut je VMware ESXi 7.0 (ili noviji).

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017 ili 2019 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i Kumulativno ažuriranje 2 ili novije verzije.
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)	Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge WebexMrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite je li za vašu partnersku organizaciju omogućena značajka HDS za više klijenata i preuzmite vjerodajnice računa s punim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve iz zahtjeva certifikata X.509.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje.
9	Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera, a zatim kliknite na Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna zaštita podataka, a zatim kliknite na Postavljanje. Klikom na Postavljanje u okruženju Partner Hub ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršavanja ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi datoteku .OVA na kartici Instaliraj i konfiguriraj softver . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć . Kliknite na Postavke > Pomoć > Preuzimanje softvera hibridne zaštite podataka. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
4	Opcionalno kliknite na Prikaži vodič o implementaciji hibridne zaštite podataka kako biste provjerili postoji li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

ciscocitg/hds-setup-fedramp: stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker povlačenje ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker povlačenje ciscocitg/hds-setup-fedramp: stabilan

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan

U uobičajenim okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan

U FedRAMP okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru http://127.0.0.1:8080i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Početak rada.

9

Na stranici ISO uvoza imate sljedeće mogućnosti:

Ne– ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da – ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite na Nastavi.
Ako je vaš certifikat u redu, kliknite na Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi upotrebljavati HDS lanac certifikata i privatni ključ iz prethodnog ISO standarda?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite na Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberite Vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL poslužitelj, dobit ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u polju Korisničko ime .
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u polju Korisničko ime .
Unesite adresu poslužitelja baze podataka u obrascu : ili :.

Primjer:
dbhost.primjer.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako koristite provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.primjer.org:1433
Unesite naziv baze podataka.
Unesite Korisničko ime i Lozinku korisnika sa svim privilegijama u bazu podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u polju Glavno računalo i ulaz baze podataka . Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava prijavu na Syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako svoj poslužitelj postavite za upotrebu TLS šifriranja, označite Je li vaš syslog poslužitelj konfiguriran za SSL šifriranje?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao tcp://10.92.43.23:514.
Na padajućem izborniku Odabir završetka zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null bajt -- \x00
- Novija linija -- \n– odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxVeličina: 10

15

Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga .

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Da biste zatvorili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberite Datoteka > Implementacija OVF predloška.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje.
4	Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje.
5	Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite na Dalje.
7	Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje.
8	Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM.
9	Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala– unesite FQDN (naziv glavnog računala i domenu) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije prelaziti 64 znaka. IP adresa– unesite IP adresu za unutarnje sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska– unesite adresu maske podmreže u točkasto-decimalnoj oznaci. Na primjer, 255.255.255.0. Pristupnik– unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji– unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji– unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključeno napajanje. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `administrator` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju .
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu Hardver kartice Konfiguracija kliknite na Pohrana.
Na popisu Trgovine podacima desnom tipkom miša kliknite na bazu podataka za svoje VM-ove, a zatim Pretraži bazu podataka.
Kliknite ikonu Prenesi datoteke, a zatim Prenesi datoteku.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite na Otvori.
Kliknite Da da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite na U redu da biste prihvatili upozorenje o ograničenim opcijama za uređivanje.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje s ISO datoteke podatkovnog centra i prijeđite na lokaciju gdje ste prenijeli ISO datoteku za konfiguraciju.
Označite Povezano i Poveži se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	U web-preglednik unesite URL za postavljanje HDS čvora `https://[HDS Node IP ili FQDN]/setup,` unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol– odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavljanje VM-a hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Postavi.
4	Na stranici koja se otvara kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite na Idi na čvor. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na stranici Hibridna zaštita podataka u kartici Resursi prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comizborniku na lijevoj strani zaslona odaberite Usluge . U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Prikaži sve. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se na stranici Resursi . Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite na Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite na Dodaj. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Skočna poruka dodana čvor pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte HDS za više klijenata na Čvorištu partnera

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi upotrebljavati HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje HDS klastera za više klijenata s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke.
4	Kliknite na Aktiviraj HDS na kartici Status HDS .

Dodavanje organizacija klijenta u Čvorište partnera

U ovom zadatku dodijelite organizacije korisnika svom klasteru hibridne zaštite podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Kliknite na klaster kojem želite da se dodijeli korisnik.
5	Otvorite karticu Dodijeljeni korisnici .
6	Kliknite na Dodaj korisnike.
7	Na padajućem izborniku odaberite korisnika kojeg želite dodati.
8	Kliknite na Dodaj, korisnik će se dodati u klaster.
9	Ponovite korake od 6 do 8 kako biste dodali više korisnika u svoj klaster.
10	Kliknite na Gotovo pri dnu zaslona nakon što dodate korisnike.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je opisano u odjeljku Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a kako biste dovršili postupak postavljanja.

Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kao što je navedeno u odjeljku Dodavanje organizacija klijenta u okruženju Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte vezu sa svojom bazom podataka kako biste izvršili CMK upravljanje.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Izradi CMK za sve organizacije ili Izradi CMK – kliknite taj gumb na natpisu na vrhu zaslona da biste izradili CMK-ove za sve novododane organizacije. Kliknite na gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite na Izradi CMK-ove da biste izradili CMK-ove za sve novododane organizacije. Kliknite na više od statusa određene organizacije na čekanju za upravljanje CMK-om, a zatim kliknite na Izradi CMK da biste izradili CMK za tu organizaciju.
12	Nakon uspješne izrade CMK-a, status tablice promijenit će se iz CMK upravljanja na čekanju u CMK upravljano.
13	Ako izrada CMK-a nije uspjela, prikazat će se pogreška.

Ukloni organizacije klijenta

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Na kartici Resursi kliknite klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni korisnici.
6	Na popisu korisničkih organizacija koje se prikazuju kliknite ... na desnoj strani korisničke organizacije koju želite ukloniti i kliknite na Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivanjem CMK-ova korisničkih organizacija kao što je navedeno u odjeljku Opoziv CMK-ova klijenata uklonjenih iz HDS-a.

Povucite CMK-ove klijenata uklonjene iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera u skladu s uputama iz odjeljka Uklanjanje organizacija klijenta. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Uskraćivanje CMK-a za sve organizacije ili Uskraćivanje CMK-a – kliknite ovaj gumb na natpisu na vrhu zaslona da biste uskratili CMK-ove svih uklonjenih organizacija. Kliknite na gumb Upravljaj CMK-ovima na desnoj strani zaslona i kliknite na Opoziv CMK-ova da biste opozvali CMK-ove svih uklonjenih organizacija. Kliknite … u blizini CMK za opoziv status određene organizacije u tablici i kliknite Uskrati CMK za opoziv CMK-a za tu određenu organizaciju.
12	Nakon uspješnog opoziva CMK-a, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspio, prikazat će se pogreška.

Testiranje implementacije hibridne zaštite podataka

Upotrijebite ovaj postupak za testiranje scenarija šifriranja hibridne zaštite podataka s više klijenata.

Prije početka

Postavite implementaciju hibridne zaštite podataka za više klijenata.
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka za više klijenata.

1

Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika i zatim izradite prostor.

Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici izrađuju više neće biti dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta.

2

Šaljite poruke u novi prostor.

3

Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka.

Da biste provjerili da korisnik prvo uspostavi siguran kanal prema KMS-u, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2020-07-21 17:35:34.562 (+0000) INFORMACIJE KMS [pool-14-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Da biste provjerili korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:19.889 (+0000) INFORMACIJE KMS [pool-14-thread-31] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KLJUČ, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:21.975 (+0000) INFORMACIJE KMS [pool-14-thread-33] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE KLJUČA_KLJUČA, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog objekta resursa KMS-a (KRO) nakon izrade prostora ili drugog zaštićenog resursa, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:22.808 (+0000) INFORMACIJE KMS [pool-15-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE RESURSA_, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Praćenje stanja hibridne zaštite podataka

Pokazatelj statusa u okruženju Partner Hub pokazuje je li sve u redu s implementacijom hibridne zaštite podataka za više klijenata. Za proaktivno upozorenje registrirajte se za obavijesti e-poštom. Dobit ćete obavijest kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U okruženju Partner Hubodaberite Usluge na izborniku s lijeve strane zaslona.
2	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu zaštitu podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se izvršavaju u skladu s rasporedom nadogradnje za klaster. Kad nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili upotrijebiti zadani raspored 3:00 ujutro, dnevno, Sjedinjene Američke Države: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Postavi
4	Na stranici Resursi hibridne zaštite podataka odaberite klaster.
5	Kliknite karticu Postavke klastera .
6	Na stranici postavki klastera, u izborniku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora partnera.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno slušanje poslužitelja na priključku 8080". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Kada se to od vas zatraži, unesite vjerodajnice za prijavu korisnika u Partner Hub i zatim kliknite na Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Da biste zatvorili alat za postavljanje, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u okruženju Partner Hub.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD pogon 1`, odaberite mogućnost spremanja iz ISO datoteke i pronađite mjesto na koje ste preuzeli novu konfiguracijsku ISO datoteku. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Ovaj postupak upotrijebite za uklanjanje čvora hibridne zaštite podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualno računalo kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo.

2

Ukloni čvor:

Prijavite se u Čvorište partnera, a zatim odaberite Usluge.
Na kartici hibridne zaštite podataka kliknite na Prikaži sve kako biste prikazali stranicu Resursi hibridne zaštite podataka.
Odaberite klaster za prikaz ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Poništi registraciju ovog čvora na ploči koja se pojavljuje s desne strane
Također možete poništiti registraciju čvora klikom na… na desnoj strani čvora i odabirom opcije Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.)

Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti

Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.

Prije početka

Poništite registraciju svih čvorova iz okruženja Partner Hub kao što je navedeno u odjeljku Uklanjanje čvora. Upotrijebite najnoviju ISO datoteku koja je konfigurirana s čvorovima klastera koji je prethodno bio aktivan kako biste izvršili postupak prebacivanja naveden u nastavku.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta.
7	Registrirajte čvor u okruženju Partner Hub. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti.

Što učiniti sljedeće

Nakon prebacivanja u slučaju pogreške, ako primarni podatkovni centar ponovno postane aktivan, poništite registraciju čvorova podatkovnog centra u pripravnosti i ponovite postupak konfiguriranja ISO-a i registriranja čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Ukloni ISO nakon HDS konfiguracije

Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteke podatkovnog centra.
4	Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta.
5	Ponovi za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:

Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
Dešifriranje poruka i naziva prostora nije uspjelo za:
- Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
- Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavljanjem hibridne zaštite podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje poruke e-pošte na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Tablica 1. Zajednički problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom.
Pogreška pri povezivanju lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge.
Pogreška pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku.
Prekinuta je registracija usluge u oblaku.	Registracija za usluge u oblaku prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u okruženju Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Provjera autentičnosti za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Otvaranje datoteke lokalne tipkovnice nije uspjelo.	Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice.
Certifikat lokalnog poslužitelja nije valjan.	Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata.
Ne može se objaviti metrika.	Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku.
Direktorij /media/configdrive/hds ne postoji.	Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira.
Postavljanje organizacije klijenta nije dovršeno za dodane organizacije	Dovršite postavljanje izradom CMK-a za novododane organizacije klijenata pomoću alata za postavljanje HDS-a.
Postavljanje organizacije klijenta nije dovršeno za uklonjene organizacije	Dovršite postavljanje povlačenjem CMK-a organizacija klijenta koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema sigurnosti hibridnih podataka

Upotrijebite sljedeće opće smjernice pri rješavanju problema s hibridnom sigurnošću podataka.

1	Pregledajte okruženje Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Pogledajte sliku u nastavku za referencu.
2	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. Filtrirajte riječi kao što su "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
3	Obratite se Ciscovoj podršci.

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Partner Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, korisnici aplikacije Webex u korisničkim organizacijama više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat).

Upotrijebite OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite pojedinosti. `openssl x509 -tekst -noout -u hdsnode.pem`
3	Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i korijenske CA certifikate, u sljedećem formatu: `----BEGIN CERTIFIKAT------ ### Certifikat poslužitelja. ### -----END CERTIFIKAT------------BEGIN CERTIFIKAT------ ### Srednji CA certifikat. ### -----END CERTIFIKAT-------------BEGIN CERTIFIKAT----- ### Korijenski CA certifikat. ### -----END CERTIFIKAT------`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -izvoz -inkey hdsnode.key -u hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite pojedinosti certifikata poslužitelja. `openssl pkcs12 -u hdsnode.p12` Nakon upita unesite lozinku za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat linije `friendlyName: kms-privatni ključ`. Primjer: bash$ openssl pkcs12 -u hdsnode.p12 Unesite lozinku za uvoz: Mac je potvrdio OK Bag atributi prijateljski prilagođeniName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ključni atributi: Unesite PEM lozinku: Provjera – unesite PEM lozinku: -----POČETAK ŠIFRIRANOG PRIVATNOG KLJUČA----- -----END ŠIFRIRANI PRIVATNI KLJUČ------- Torba Atributi friendlyName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Pokušajmo šifrirati ovlaštenje X3,O=Pokušajmo šifrirati,C=US subject=/C=US/O=Pokušajmo šifrirati ovlaštenje X3 izdavač=/O=Digitalni potpis Trust Co./CN=DST Root CA X3 ------BEGIN CERTIFIKAT----- -----END CERTIFIKAT----

Što učiniti sljedeće

Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u odjeljku Izrada ISO konfiguracije za HDS organizatore.

Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlazne metrike

Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku o sinkroniziranim i asinkronim niti; metriku o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku o datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).

Dolazni promet

Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
Nadogradnje softvera čvora

Konfiguriranje proxyja lignji za sigurnost hibridnih podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavu websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol direktivu u squid.conf:

on_unsupported_protocol tunel sve

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl:server_name_regex živin-veza ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump korak1 sve ssl_bump gleda korak2 sve ssl_bump korak3 sve

Novi i promijenjeni podaci

Ova tablica obuhvaća nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne zaštite podataka za više klijenata.

Datum	Izvršene promjene
08. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klikom na Postavljanje na HDS kartici u okruženju Partner Hub važan korak u postupku instalacije.
07. siječnja 2025.	Ažurirani zahtjevi virtualnog glavnog računala, tijek zadatka implementacije hibridne zaštite podataka i instalirajte HDS glavno računalo OVA za prikaz novih zahtjeva za ESXi 7.0.
13. prosinca 2024.	Prvo objavljeno.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadatka deaktivacije HDS-a za više klijenata

Slijedite ove korake kako biste u potpunosti deaktivirali HDS za više klijenata.

Prije početka

Ovaj bi zadatak trebao izvršiti samo potpuni partnerski administrator.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je navedeno u odjeljku Uklanjanje organizacija klijenta.
2	Povucite CMK-ove svih korisnika, kao što je navedeno u odjeljku Povucite CMK-ove klijenata uklonjene iz HDS-a..
3	Uklonite sve čvorove iz svih klastera, kao što je navedeno u odjeljku Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz okruženja Partner Hub pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite… na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici pregleda hibridne zaštite podataka i kliknite Deaktiviraj HDS na kartici HDS status.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka za više klijenata

Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Hibridna zaštita podataka za više klijenata organizacijama omogućuje upotrebu HDS-a putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ovo postavljanje omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i po potrebi stvaraju HDS klastere. Svaka instanca može podržavati više korisničkih organizacija za razliku od uobičajene HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Taj je pristup ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna zaštita podataka s više klijenata osigurava suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje korisnika s kojima već imaju uspostavljeni odnos.
mogućnost za lokalnu tehničku podršku, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Cilj je ovog dokumenta pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u sustavu hibridne zaštite podataka za više klijenata.

Uloge u hibridnoj zaštiti podataka s više klijenata

Potpuni partnerski administrator – može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Partnerski administrator – može upravljati postavkama za korisnike koje je administrator dodijelio ili koje su dodijeljene korisniku.
Potpuni administrator – administrator partnerske organizacije koja je ovlaštena za izvršavanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjela uloga.

Sveobuhvatno postavljanje HDS-a za više klijenata i upravljanje svim organizacijama korisnika – potrebna su prava potpunog partnerskog administratora i prava potpunog administratora.
Upravljanje dodijeljenim organizacijama klijenata – potrebna su prava partnerskog administratora i potpunog administratora.

Arhitektura sigurnosnog područja

Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.

Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju certifikata x.509 za upotrebu s implementacijom hibridne zaštite podataka za više klijenata potražite u članku Priprema okruženja.

Očekivanja za implementaciju hibridne zaštite podataka

Implementacija hibridne zaštite podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s vlastitim ključevima za šifriranje.

Da biste implementirali hibridnu zaštitu podataka, morate navesti:

Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Oprema, softver i pristup mreži opisani u poglavlju Priprema vašeg okruženja.

Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.

Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka za više klijenata:

Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, izgradnju HDS klastera, dodavanje organizacija klijenata u klaster i upravljanje glavnim ključevima korisnika (CMK-ovi). Time ćete svim korisnicima vaših korisničkih organizacija omogućiti upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Partner Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Model implementacije hibridne zaštite podataka

Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)

Model implementacije hibridne zaštite podataka

Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)

Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.

Čvorovi se aktiviraju kada ih registrirate u okruženju Partner Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.

Podatkovni centar u pripravnosti za oporavak od katastrofa

Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.

Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške.

Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
2. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – nije potrebna dodatna provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi certifikata X.509 za implementaciju hibridne zaštite podataka
Uvjet	Pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, npr. `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS br. 12 zaštićena lozinkom Koristite prilagođeni naziv `kms-privatnog ključa` kako biste označili certifikat, privatni ključ i sve međucertifikate za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
Instaliran i pokrenut je VMware ESXi 7.0 (ili noviji).

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017 ili 2019 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i Kumulativno ažuriranje 2 ili novije verzije.
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)	Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge WebexMrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite je li za vašu partnersku organizaciju omogućena značajka HDS za više klijenata i preuzmite vjerodajnice računa s punim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve iz zahtjeva certifikata X.509.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje.
9	Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera, a zatim kliknite na Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna zaštita podataka, a zatim kliknite na Postavljanje. Klikom na Postavljanje u okruženju Partner Hub ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršavanja ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi datoteku .OVA na kartici Instaliraj i konfiguriraj softver . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć . Kliknite na Postavke > Pomoć > Preuzimanje softvera hibridne zaštite podataka. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
4	Opcionalno kliknite na Prikaži vodič o implementaciji hibridne zaštite podataka kako biste provjerili postoji li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

ciscocitg/hds-setup-fedramp: stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker povlačenje ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker povlačenje ciscocitg/hds-setup-fedramp: stabilan

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan

U uobičajenim okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan

U FedRAMP okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru http://127.0.0.1:8080i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Početak rada.

9

Na stranici ISO uvoza imate sljedeće mogućnosti:

Ne– ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da – ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite na Nastavi.
Ako je vaš certifikat u redu, kliknite na Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi upotrebljavati HDS lanac certifikata i privatni ključ iz prethodnog ISO standarda?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite na Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberite Vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL poslužitelj, dobit ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u polju Korisničko ime .
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u polju Korisničko ime .
Unesite adresu poslužitelja baze podataka u obrascu : ili :.

Primjer:
dbhost.primjer.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako koristite provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.primjer.org:1433
Unesite naziv baze podataka.
Unesite Korisničko ime i Lozinku korisnika sa svim privilegijama u bazu podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u polju Glavno računalo i ulaz baze podataka . Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava prijavu na Syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako svoj poslužitelj postavite za upotrebu TLS šifriranja, označite Je li vaš syslog poslužitelj konfiguriran za SSL šifriranje?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao tcp://10.92.43.23:514.
Na padajućem izborniku Odabir završetka zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null bajt -- \x00
- Novija linija -- \n– odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxVeličina: 10

15

Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga .

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Da biste zatvorili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberite Datoteka > Implementacija OVF predloška.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje.
4	Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje.
5	Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite na Dalje.
7	Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje.
8	Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM.
9	Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala– unesite FQDN (naziv glavnog računala i domenu) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije prelaziti 64 znaka. IP adresa– unesite IP adresu za unutarnje sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska– unesite adresu maske podmreže u točkasto-decimalnoj oznaci. Na primjer, 255.255.255.0. Pristupnik– unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji– unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji– unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključeno napajanje. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `administrator` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju .
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu Hardver kartice Konfiguracija kliknite na Pohrana.
Na popisu Trgovine podacima desnom tipkom miša kliknite na bazu podataka za svoje VM-ove, a zatim Pretraži bazu podataka.
Kliknite ikonu Prenesi datoteke, a zatim Prenesi datoteku.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite na Otvori.
Kliknite Da da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite na U redu da biste prihvatili upozorenje o ograničenim opcijama za uređivanje.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje s ISO datoteke podatkovnog centra i prijeđite na lokaciju gdje ste prenijeli ISO datoteku za konfiguraciju.
Označite Povezano i Poveži se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	U web-preglednik unesite URL za postavljanje HDS čvora `https://[HDS Node IP ili FQDN]/setup,` unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol– odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavljanje VM-a hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Postavi.
4	Na stranici koja se otvara kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite na Idi na čvor. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na stranici Hibridna zaštita podataka u kartici Resursi prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comizborniku na lijevoj strani zaslona odaberite Usluge . U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Prikaži sve. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se na stranici Resursi . Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite na Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite na Dodaj. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Skočna poruka dodana čvor pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte HDS za više klijenata na Čvorištu partnera

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi upotrebljavati HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje HDS klastera za više klijenata s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke.
4	Kliknite na Aktiviraj HDS na kartici Status HDS .

Dodavanje organizacija klijenta u Čvorište partnera

U ovom zadatku dodijelite organizacije korisnika svom klasteru hibridne zaštite podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Kliknite na klaster kojem želite da se dodijeli korisnik.
5	Otvorite karticu Dodijeljeni korisnici .
6	Kliknite na Dodaj korisnike.
7	Na padajućem izborniku odaberite korisnika kojeg želite dodati.
8	Kliknite na Dodaj, korisnik će se dodati u klaster.
9	Ponovite korake od 6 do 8 kako biste dodali više korisnika u svoj klaster.
10	Kliknite na Gotovo pri dnu zaslona nakon što dodate korisnike.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je opisano u odjeljku Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a kako biste dovršili postupak postavljanja.

Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kao što je navedeno u odjeljku Dodavanje organizacija klijenta u okruženju Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte vezu sa svojom bazom podataka kako biste izvršili CMK upravljanje.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Izradi CMK za sve organizacije ili Izradi CMK – kliknite taj gumb na natpisu na vrhu zaslona da biste izradili CMK-ove za sve novododane organizacije. Kliknite na gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite na Izradi CMK-ove da biste izradili CMK-ove za sve novododane organizacije. Kliknite na više od statusa određene organizacije na čekanju za upravljanje CMK-om, a zatim kliknite na Izradi CMK da biste izradili CMK za tu organizaciju.
12	Nakon uspješne izrade CMK-a, status tablice promijenit će se iz CMK upravljanja na čekanju u CMK upravljano.
13	Ako izrada CMK-a nije uspjela, prikazat će se pogreška.

Ukloni organizacije klijenta

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Na kartici Resursi kliknite klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni korisnici.
6	Na popisu korisničkih organizacija koje se prikazuju kliknite ... na desnoj strani korisničke organizacije koju želite ukloniti i kliknite na Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivanjem CMK-ova korisničkih organizacija kao što je navedeno u odjeljku Opoziv CMK-ova klijenata uklonjenih iz HDS-a.

Povucite CMK-ove klijenata uklonjene iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera u skladu s uputama iz odjeljka Uklanjanje organizacija klijenta. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Uskraćivanje CMK-a za sve organizacije ili Uskraćivanje CMK-a – kliknite ovaj gumb na natpisu na vrhu zaslona da biste uskratili CMK-ove svih uklonjenih organizacija. Kliknite na gumb Upravljaj CMK-ovima na desnoj strani zaslona i kliknite na Opoziv CMK-ova da biste opozvali CMK-ove svih uklonjenih organizacija. Kliknite … u blizini CMK za opoziv status određene organizacije u tablici i kliknite Uskrati CMK za opoziv CMK-a za tu određenu organizaciju.
12	Nakon uspješnog opoziva CMK-a, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspio, prikazat će se pogreška.

Testiranje implementacije hibridne zaštite podataka

Upotrijebite ovaj postupak za testiranje scenarija šifriranja hibridne zaštite podataka s više klijenata.

Prije početka

Postavite implementaciju hibridne zaštite podataka za više klijenata.
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka za više klijenata.

1

Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika i zatim izradite prostor.

Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici izrađuju više neće biti dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta.

2

Šaljite poruke u novi prostor.

3

Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka.

Da biste provjerili da korisnik prvo uspostavi siguran kanal prema KMS-u, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2020-07-21 17:35:34.562 (+0000) INFORMACIJE KMS [pool-14-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Da biste provjerili korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:19.889 (+0000) INFORMACIJE KMS [pool-14-thread-31] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KLJUČ, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:21.975 (+0000) INFORMACIJE KMS [pool-14-thread-33] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE KLJUČA_KLJUČA, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog objekta resursa KMS-a (KRO) nakon izrade prostora ili drugog zaštićenog resursa, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:22.808 (+0000) INFORMACIJE KMS [pool-15-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE RESURSA_, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Praćenje stanja hibridne zaštite podataka

Pokazatelj statusa u okruženju Partner Hub pokazuje je li sve u redu s implementacijom hibridne zaštite podataka za više klijenata. Za proaktivno upozorenje registrirajte se za obavijesti e-poštom. Dobit ćete obavijest kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U okruženju Partner Hubodaberite Usluge na izborniku s lijeve strane zaslona.
2	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu zaštitu podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se izvršavaju u skladu s rasporedom nadogradnje za klaster. Kad nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili upotrijebiti zadani raspored 3:00 ujutro, dnevno, Sjedinjene Američke Države: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Postavi
4	Na stranici Resursi hibridne zaštite podataka odaberite klaster.
5	Kliknite karticu Postavke klastera .
6	Na stranici postavki klastera, u izborniku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora partnera.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno slušanje poslužitelja na priključku 8080". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Kada se to od vas zatraži, unesite vjerodajnice za prijavu korisnika u Partner Hub i zatim kliknite na Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Da biste zatvorili alat za postavljanje, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u okruženju Partner Hub.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD pogon 1`, odaberite mogućnost spremanja iz ISO datoteke i pronađite mjesto na koje ste preuzeli novu konfiguracijsku ISO datoteku. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Ovaj postupak upotrijebite za uklanjanje čvora hibridne zaštite podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualno računalo kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo.

2

Ukloni čvor:

Prijavite se u Čvorište partnera, a zatim odaberite Usluge.
Na kartici hibridne zaštite podataka kliknite na Prikaži sve kako biste prikazali stranicu Resursi hibridne zaštite podataka.
Odaberite klaster za prikaz ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Poništi registraciju ovog čvora na ploči koja se pojavljuje s desne strane
Također možete poništiti registraciju čvora klikom na… na desnoj strani čvora i odabirom opcije Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.)

Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti

Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.

Prije početka

Poništite registraciju svih čvorova iz okruženja Partner Hub kao što je navedeno u odjeljku Uklanjanje čvora. Upotrijebite najnoviju ISO datoteku koja je konfigurirana s čvorovima klastera koji je prethodno bio aktivan kako biste izvršili postupak prebacivanja naveden u nastavku.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta.
7	Registrirajte čvor u okruženju Partner Hub. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti.

Što učiniti sljedeće

Nakon prebacivanja u slučaju pogreške, ako primarni podatkovni centar ponovno postane aktivan, poništite registraciju čvorova podatkovnog centra u pripravnosti i ponovite postupak konfiguriranja ISO-a i registriranja čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Ukloni ISO nakon HDS konfiguracije

Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteke podatkovnog centra.
4	Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta.
5	Ponovi za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:

Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
Dešifriranje poruka i naziva prostora nije uspjelo za:
- Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
- Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavljanjem hibridne zaštite podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje poruke e-pošte na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Tablica 1. Zajednički problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom.
Pogreška pri povezivanju lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge.
Pogreška pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku.
Prekinuta je registracija usluge u oblaku.	Registracija za usluge u oblaku prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u okruženju Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Provjera autentičnosti za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Otvaranje datoteke lokalne tipkovnice nije uspjelo.	Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice.
Certifikat lokalnog poslužitelja nije valjan.	Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata.
Ne može se objaviti metrika.	Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku.
Direktorij /media/configdrive/hds ne postoji.	Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira.
Postavljanje organizacije klijenta nije dovršeno za dodane organizacije	Dovršite postavljanje izradom CMK-a za novododane organizacije klijenata pomoću alata za postavljanje HDS-a.
Postavljanje organizacije klijenta nije dovršeno za uklonjene organizacije	Dovršite postavljanje povlačenjem CMK-a organizacija klijenta koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema sigurnosti hibridnih podataka

Upotrijebite sljedeće opće smjernice pri rješavanju problema s hibridnom sigurnošću podataka.

1	Pregledajte okruženje Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Pogledajte sliku u nastavku za referencu.
2	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. Filtrirajte riječi kao što su "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
3	Obratite se Ciscovoj podršci.

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Partner Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, korisnici aplikacije Webex u korisničkim organizacijama više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat).

Upotrijebite OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite pojedinosti. `openssl x509 -tekst -noout -u hdsnode.pem`
3	Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i korijenske CA certifikate, u sljedećem formatu: `----BEGIN CERTIFIKAT------ ### Certifikat poslužitelja. ### -----END CERTIFIKAT------------BEGIN CERTIFIKAT------ ### Srednji CA certifikat. ### -----END CERTIFIKAT-------------BEGIN CERTIFIKAT----- ### Korijenski CA certifikat. ### -----END CERTIFIKAT------`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -izvoz -inkey hdsnode.key -u hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite pojedinosti certifikata poslužitelja. `openssl pkcs12 -u hdsnode.p12` Nakon upita unesite lozinku za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat linije `friendlyName: kms-privatni ključ`. Primjer: bash$ openssl pkcs12 -u hdsnode.p12 Unesite lozinku za uvoz: Mac je potvrdio OK Bag atributi prijateljski prilagođeniName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ključni atributi: Unesite PEM lozinku: Provjera – unesite PEM lozinku: -----POČETAK ŠIFRIRANOG PRIVATNOG KLJUČA----- -----END ŠIFRIRANI PRIVATNI KLJUČ------- Torba Atributi friendlyName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Pokušajmo šifrirati ovlaštenje X3,O=Pokušajmo šifrirati,C=US subject=/C=US/O=Pokušajmo šifrirati ovlaštenje X3 izdavač=/O=Digitalni potpis Trust Co./CN=DST Root CA X3 ------BEGIN CERTIFIKAT----- -----END CERTIFIKAT----

Što učiniti sljedeće

Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u odjeljku Izrada ISO konfiguracije za HDS organizatore.

Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlazne metrike

Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku o sinkroniziranim i asinkronim niti; metriku o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku o datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).

Dolazni promet

Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
Nadogradnje softvera čvora

Konfiguriranje proxyja lignji za sigurnost hibridnih podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavu websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol direktivu u squid.conf:

on_unsupported_protocol tunel sve

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl:server_name_regex živin-veza ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump korak1 sve ssl_bump gleda korak2 sve ssl_bump korak3 sve

Novi i promijenjeni podaci

Ova tablica obuhvaća nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne zaštite podataka za više klijenata.

Datum	Izvršene promjene
15. siječnja 2025.	Dodana su ograničenja hibridne zaštite podataka za više klijenata.
08. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klikom na Postavljanje na HDS kartici u okruženju Partner Hub važan korak u postupku instalacije.
07. siječnja 2025.	Ažurirani zahtjevi virtualnog glavnog računala, tijek zadatka implementacije hibridne zaštite podataka i instalirajte HDS glavno računalo OVA za prikaz novih zahtjeva za ESXi 7.0.
13. prosinca 2024.	Prvo objavljeno.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadatka deaktivacije HDS-a za više klijenata

Slijedite ove korake kako biste u potpunosti deaktivirali HDS za više klijenata.

Prije početka

Ovaj bi zadatak trebao izvršiti samo potpuni partnerski administrator.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je navedeno u odjeljku Uklanjanje organizacija klijenta.
2	Povucite CMK-ove svih korisnika, kao što je navedeno u odjeljku Povucite CMK-ove klijenata uklonjene iz HDS-a..
3	Uklonite sve čvorove iz svih klastera, kao što je navedeno u odjeljku Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz okruženja Partner Hub pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite… na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici pregleda hibridne zaštite podataka i kliknite Deaktiviraj HDS na kartici HDS status.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka za više klijenata

Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Hibridna zaštita podataka za više klijenata organizacijama omogućuje upotrebu HDS-a putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ovo postavljanje omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i po potrebi stvaraju HDS klastere. Svaka instanca može podržavati više korisničkih organizacija za razliku od uobičajene HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Taj je pristup ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna zaštita podataka s više klijenata osigurava suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje korisnika s kojima već imaju uspostavljeni odnos.
mogućnost za lokalnu tehničku podršku, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Cilj je ovog dokumenta pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u sustavu hibridne zaštite podataka za više klijenata.

Ograničenja sigurnosti hibridnih podataka za više klijenata

Partnerske organizacije ne smiju imati aktivnu postojeću HDS implementaciju u okruženju Control Hub.
Klijent ili korisničke organizacije kojima želi upravljati partner ne smiju imati postojeću HDS implementaciju u okruženju Control Hub.
Nakon što partner implementira HDS za više klijenata, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju upotrebljavati HDS za više klijenata za svoje usluge šifriranja.

Organizacija partnera i korisničke organizacije kojima upravljaju bit će na istoj HDS implementaciji za više klijenata.

Partnerska organizacija više neće upotrebljavati KMS u oblaku nakon implementacije HDS-a za više klijenata.
Nema mehanizma za premještanje ključeva natrag u KMS u oblaku nakon HDS implementacije.
Trenutačno svaka HDS implementacija za više klijenata može imati samo jedan klaster s više čvorova ispod sebe.
Uloge administratora imaju određena ograničenja. Pojedinosti potražite u odjeljku u nastavku.

Uloge u hibridnoj zaštiti podataka s više klijenata

Potpuni partnerski administrator – može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Partnerski administrator – može upravljati postavkama za korisnike koje je administrator dodijelio ili koje su dodijeljene korisniku.
Potpuni administrator – administrator partnerske organizacije koja je ovlaštena za izvršavanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjela uloga.

Sveobuhvatno postavljanje HDS-a za više klijenata i upravljanje svim organizacijama korisnika – potrebna su prava potpunog partnerskog administratora i prava potpunog administratora.
Upravljanje dodijeljenim organizacijama klijenata – potrebna su prava partnerskog administratora i potpunog administratora.

Arhitektura sigurnosnog područja

Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.

Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju certifikata x.509 za upotrebu s implementacijom hibridne zaštite podataka za više klijenata potražite u članku Priprema okruženja.

Očekivanja za implementaciju hibridne zaštite podataka

Implementacija hibridne zaštite podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s vlastitim ključevima za šifriranje.

Da biste implementirali hibridnu zaštitu podataka, morate navesti:

Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Oprema, softver i pristup mreži opisani u poglavlju Priprema vašeg okruženja.

Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.

Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka za više klijenata:

Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, izgradnju HDS klastera, dodavanje organizacija klijenata u klaster i upravljanje glavnim ključevima korisnika (CMK-ovi). Time ćete svim korisnicima vaših korisničkih organizacija omogućiti upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Partner Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Model implementacije hibridne zaštite podataka

Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)

Model implementacije hibridne zaštite podataka

Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)

Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.

Čvorovi se aktiviraju kada ih registrirate u okruženju Partner Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.

Podatkovni centar u pripravnosti za oporavak od katastrofa

Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.

Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške.

Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
2. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – nije potrebna dodatna provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi certifikata X.509 za implementaciju hibridne zaštite podataka
Uvjet	Pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, npr. `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS br. 12 zaštićena lozinkom Koristite prilagođeni naziv `kms-privatnog ključa` kako biste označili certifikat, privatni ključ i sve međucertifikate za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
Instaliran i pokrenut je VMware ESXi 7.0 (ili noviji).

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017 ili 2019 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i Kumulativno ažuriranje 2 ili novije verzije.
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)	Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge WebexMrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite je li za vašu partnersku organizaciju omogućena značajka HDS za više klijenata i preuzmite vjerodajnice računa s punim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve iz zahtjeva certifikata X.509.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje.
9	Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera, a zatim kliknite na Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna zaštita podataka, a zatim kliknite na Postavljanje. Klikom na Postavljanje u okruženju Partner Hub ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršavanja ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi datoteku .OVA na kartici Instaliraj i konfiguriraj softver . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć . Kliknite na Postavke > Pomoć > Preuzimanje softvera hibridne zaštite podataka. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
4	Opcionalno kliknite na Prikaži vodič o implementaciji hibridne zaštite podataka kako biste provjerili postoji li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

ciscocitg/hds-setup-fedramp: stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker povlačenje ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker povlačenje ciscocitg/hds-setup-fedramp: stabilan

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan

U uobičajenim okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan

U FedRAMP okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru http://127.0.0.1:8080i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Početak rada.

9

Na stranici ISO uvoza imate sljedeće mogućnosti:

Ne– ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da – ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite na Nastavi.
Ako je vaš certifikat u redu, kliknite na Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi upotrebljavati HDS lanac certifikata i privatni ključ iz prethodnog ISO standarda?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite na Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberite Vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL poslužitelj, dobit ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u polju Korisničko ime .
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u polju Korisničko ime .
Unesite adresu poslužitelja baze podataka u obrascu : ili :.

Primjer:
dbhost.primjer.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako koristite provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.primjer.org:1433
Unesite naziv baze podataka.
Unesite Korisničko ime i Lozinku korisnika sa svim privilegijama u bazu podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u polju Glavno računalo i ulaz baze podataka . Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava prijavu na Syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako svoj poslužitelj postavite za upotrebu TLS šifriranja, označite Je li vaš syslog poslužitelj konfiguriran za SSL šifriranje?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao tcp://10.92.43.23:514.
Na padajućem izborniku Odabir završetka zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null bajt -- \x00
- Novija linija -- \n– odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxVeličina: 10

15

Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga .

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Da biste zatvorili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberite Datoteka > Implementacija OVF predloška.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje.
4	Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje.
5	Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite na Dalje.
7	Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje.
8	Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM.
9	Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala– unesite FQDN (naziv glavnog računala i domenu) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije prelaziti 64 znaka. IP adresa– unesite IP adresu za unutarnje sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska– unesite adresu maske podmreže u točkasto-decimalnoj oznaci. Na primjer, 255.255.255.0. Pristupnik– unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji– unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji– unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključeno napajanje. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `administrator` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju .
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu Hardver kartice Konfiguracija kliknite na Pohrana.
Na popisu Trgovine podacima desnom tipkom miša kliknite na bazu podataka za svoje VM-ove, a zatim Pretraži bazu podataka.
Kliknite ikonu Prenesi datoteke, a zatim Prenesi datoteku.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite na Otvori.
Kliknite Da da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite na U redu da biste prihvatili upozorenje o ograničenim opcijama za uređivanje.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje s ISO datoteke podatkovnog centra i prijeđite na lokaciju gdje ste prenijeli ISO datoteku za konfiguraciju.
Označite Povezano i Poveži se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	U web-preglednik unesite URL za postavljanje HDS čvora `https://[HDS Node IP ili FQDN]/setup,` unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol– odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavljanje VM-a hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Postavi.
4	Na stranici koja se otvara kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite na Idi na čvor. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na stranici Hibridna zaštita podataka u kartici Resursi prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comizborniku na lijevoj strani zaslona odaberite Usluge . U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Prikaži sve. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se na stranici Resursi . Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite na Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite na Dodaj. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Skočna poruka dodana čvor pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte HDS za više klijenata na Čvorištu partnera

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi upotrebljavati HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje HDS klastera za više klijenata s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke.
4	Kliknite na Aktiviraj HDS na kartici Status HDS .

Dodavanje organizacija klijenta u Čvorište partnera

U ovom zadatku dodijelite organizacije korisnika svom klasteru hibridne zaštite podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Kliknite na klaster kojem želite da se dodijeli korisnik.
5	Otvorite karticu Dodijeljeni korisnici .
6	Kliknite na Dodaj korisnike.
7	Na padajućem izborniku odaberite korisnika kojeg želite dodati.
8	Kliknite na Dodaj, korisnik će se dodati u klaster.
9	Ponovite korake od 6 do 8 kako biste dodali više korisnika u svoj klaster.
10	Kliknite na Gotovo pri dnu zaslona nakon što dodate korisnike.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je opisano u odjeljku Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a kako biste dovršili postupak postavljanja.

Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kao što je navedeno u odjeljku Dodavanje organizacija klijenta u okruženju Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte vezu sa svojom bazom podataka kako biste izvršili CMK upravljanje.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Izradi CMK za sve organizacije ili Izradi CMK – kliknite taj gumb na natpisu na vrhu zaslona da biste izradili CMK-ove za sve novododane organizacije. Kliknite na gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite na Izradi CMK-ove da biste izradili CMK-ove za sve novododane organizacije. Kliknite na više od statusa određene organizacije na čekanju za upravljanje CMK-om, a zatim kliknite na Izradi CMK da biste izradili CMK za tu organizaciju.
12	Nakon uspješne izrade CMK-a, status tablice promijenit će se iz CMK upravljanja na čekanju u CMK upravljano.
13	Ako izrada CMK-a nije uspjela, prikazat će se pogreška.

Ukloni organizacije klijenta

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Na kartici Resursi kliknite klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni korisnici.
6	Na popisu korisničkih organizacija koje se prikazuju kliknite ... na desnoj strani korisničke organizacije koju želite ukloniti i kliknite na Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivanjem CMK-ova korisničkih organizacija kao što je navedeno u odjeljku Opoziv CMK-ova klijenata uklonjenih iz HDS-a.

Povucite CMK-ove klijenata uklonjene iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera u skladu s uputama iz odjeljka Uklanjanje organizacija klijenta. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Uskraćivanje CMK-a za sve organizacije ili Uskraćivanje CMK-a – kliknite ovaj gumb na natpisu na vrhu zaslona da biste uskratili CMK-ove svih uklonjenih organizacija. Kliknite na gumb Upravljaj CMK-ovima na desnoj strani zaslona i kliknite na Opoziv CMK-ova da biste opozvali CMK-ove svih uklonjenih organizacija. Kliknite … u blizini CMK za opoziv status određene organizacije u tablici i kliknite Uskrati CMK za opoziv CMK-a za tu određenu organizaciju.
12	Nakon uspješnog opoziva CMK-a, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspio, prikazat će se pogreška.

Testiranje implementacije hibridne zaštite podataka

Upotrijebite ovaj postupak za testiranje scenarija šifriranja hibridne zaštite podataka s više klijenata.

Prije početka

Postavite implementaciju hibridne zaštite podataka za više klijenata.
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka za više klijenata.

1

Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika i zatim izradite prostor.

Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici izrađuju više neće biti dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta.

2

Šaljite poruke u novi prostor.

3

Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka.

Da biste provjerili da korisnik prvo uspostavi siguran kanal prema KMS-u, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2020-07-21 17:35:34.562 (+0000) INFORMACIJE KMS [pool-14-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Da biste provjerili korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:19.889 (+0000) INFORMACIJE KMS [pool-14-thread-31] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KLJUČ, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:21.975 (+0000) INFORMACIJE KMS [pool-14-thread-33] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE KLJUČA_KLJUČA, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog objekta resursa KMS-a (KRO) nakon izrade prostora ili drugog zaštićenog resursa, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:22.808 (+0000) INFORMACIJE KMS [pool-15-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE RESURSA_, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Praćenje stanja hibridne zaštite podataka

Pokazatelj statusa u okruženju Partner Hub pokazuje je li sve u redu s implementacijom hibridne zaštite podataka za više klijenata. Za proaktivno upozorenje registrirajte se za obavijesti e-poštom. Dobit ćete obavijest kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U okruženju Partner Hubodaberite Usluge na izborniku s lijeve strane zaslona.
2	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu zaštitu podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se izvršavaju u skladu s rasporedom nadogradnje za klaster. Kad nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili upotrijebiti zadani raspored 3:00 ujutro, dnevno, Sjedinjene Američke Države: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Postavi
4	Na stranici Resursi hibridne zaštite podataka odaberite klaster.
5	Kliknite karticu Postavke klastera .
6	Na stranici postavki klastera, u izborniku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora partnera.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno slušanje poslužitelja na priključku 8080". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Kada se to od vas zatraži, unesite vjerodajnice za prijavu korisnika u Partner Hub i zatim kliknite na Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Da biste zatvorili alat za postavljanje, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u okruženju Partner Hub.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD pogon 1`, odaberite mogućnost spremanja iz ISO datoteke i pronađite mjesto na koje ste preuzeli novu konfiguracijsku ISO datoteku. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Ovaj postupak upotrijebite za uklanjanje čvora hibridne zaštite podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualno računalo kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo.

2

Ukloni čvor:

Prijavite se u Čvorište partnera, a zatim odaberite Usluge.
Na kartici hibridne zaštite podataka kliknite na Prikaži sve kako biste prikazali stranicu Resursi hibridne zaštite podataka.
Odaberite klaster za prikaz ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Poništi registraciju ovog čvora na ploči koja se pojavljuje s desne strane
Također možete poništiti registraciju čvora klikom na… na desnoj strani čvora i odabirom opcije Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.)

Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti

Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.

Prije početka

Poništite registraciju svih čvorova iz okruženja Partner Hub kao što je navedeno u odjeljku Uklanjanje čvora. Upotrijebite najnoviju ISO datoteku koja je konfigurirana s čvorovima klastera koji je prethodno bio aktivan kako biste izvršili postupak prebacivanja naveden u nastavku.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta.
7	Registrirajte čvor u okruženju Partner Hub. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti.

Što učiniti sljedeće

Nakon prebacivanja u slučaju pogreške, ako primarni podatkovni centar ponovno postane aktivan, poništite registraciju čvorova podatkovnog centra u pripravnosti i ponovite postupak konfiguriranja ISO-a i registriranja čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Ukloni ISO nakon HDS konfiguracije

Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteke podatkovnog centra.
4	Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta.
5	Ponovi za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:

Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
Dešifriranje poruka i naziva prostora nije uspjelo za:
- Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
- Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavljanjem hibridne zaštite podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje poruke e-pošte na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Tablica 1. Zajednički problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom.
Pogreška pri povezivanju lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge.
Pogreška pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku.
Prekinuta je registracija usluge u oblaku.	Registracija za usluge u oblaku prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u okruženju Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Provjera autentičnosti za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Otvaranje datoteke lokalne tipkovnice nije uspjelo.	Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice.
Certifikat lokalnog poslužitelja nije valjan.	Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata.
Ne može se objaviti metrika.	Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku.
Direktorij /media/configdrive/hds ne postoji.	Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira.
Postavljanje organizacije klijenta nije dovršeno za dodane organizacije	Dovršite postavljanje izradom CMK-a za novododane organizacije klijenata pomoću alata za postavljanje HDS-a.
Postavljanje organizacije klijenta nije dovršeno za uklonjene organizacije	Dovršite postavljanje povlačenjem CMK-a organizacija klijenta koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema sigurnosti hibridnih podataka

Upotrijebite sljedeće opće smjernice pri rješavanju problema s hibridnom sigurnošću podataka.

1	Pregledajte okruženje Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Pogledajte sliku u nastavku za referencu.
2	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. Filtrirajte riječi kao što su "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
3	Obratite se Ciscovoj podršci.

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Partner Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, korisnici aplikacije Webex u korisničkim organizacijama više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat).

Upotrijebite OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite pojedinosti. `openssl x509 -tekst -noout -u hdsnode.pem`
3	Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i korijenske CA certifikate, u sljedećem formatu: `----BEGIN CERTIFIKAT------ ### Certifikat poslužitelja. ### -----END CERTIFIKAT------------BEGIN CERTIFIKAT------ ### Srednji CA certifikat. ### -----END CERTIFIKAT-------------BEGIN CERTIFIKAT----- ### Korijenski CA certifikat. ### -----END CERTIFIKAT------`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -izvoz -inkey hdsnode.key -u hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite pojedinosti certifikata poslužitelja. `openssl pkcs12 -u hdsnode.p12` Nakon upita unesite lozinku za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat linije `friendlyName: kms-privatni ključ`. Primjer: bash$ openssl pkcs12 -u hdsnode.p12 Unesite lozinku za uvoz: Mac je potvrdio OK Bag atributi prijateljski prilagođeniName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ključni atributi: Unesite PEM lozinku: Provjera – unesite PEM lozinku: -----POČETAK ŠIFRIRANOG PRIVATNOG KLJUČA----- -----END ŠIFRIRANI PRIVATNI KLJUČ------- Torba Atributi friendlyName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Pokušajmo šifrirati ovlaštenje X3,O=Pokušajmo šifrirati,C=US subject=/C=US/O=Pokušajmo šifrirati ovlaštenje X3 izdavač=/O=Digitalni potpis Trust Co./CN=DST Root CA X3 ------BEGIN CERTIFIKAT----- -----END CERTIFIKAT----

Što učiniti sljedeće

Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u odjeljku Izrada ISO konfiguracije za HDS organizatore.

Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlazne metrike

Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku o sinkroniziranim i asinkronim niti; metriku o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku o datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).

Dolazni promet

Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
Nadogradnje softvera čvora

Konfiguriranje proxyja lignji za sigurnost hibridnih podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavu websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol direktivu u squid.conf:

on_unsupported_protocol tunel sve

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl:server_name_regex živin-veza ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump korak1 sve ssl_bump gleda korak2 sve ssl_bump korak3 sve

Novi i promijenjeni podaci

Ova tablica obuhvaća nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne zaštite podataka za više klijenata.

Datum	Izvršene promjene
30. siječnja 2025.	Dodana verzija 2022 SQL poslužitelja na popis podržanih SQL poslužitelja u Preduvjeti poslužitelja baze podataka.
15. siječnja 2025.	Dodana su ograničenja hibridne zaštite podataka za više klijenata.
08. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klikom na Postavljanje na HDS kartici u okruženju Partner Hub važan korak u postupku instalacije.
07. siječnja 2025.	Ažurirani zahtjevi virtualnog glavnog računala, tijek zadatka implementacije hibridne zaštite podataka i instalirajte HDS glavno računalo OVA za prikaz novih zahtjeva za ESXi 7.0.
13. prosinca 2024.	Prvo objavljeno.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadatka deaktivacije HDS-a za više klijenata

Slijedite ove korake kako biste u potpunosti deaktivirali HDS za više klijenata.

Prije početka

Ovaj bi zadatak trebao izvršiti samo potpuni partnerski administrator.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je navedeno u odjeljku Uklanjanje organizacija klijenta.
2	Povucite CMK-ove svih korisnika, kao što je navedeno u odjeljku Povucite CMK-ove klijenata uklonjene iz HDS-a..
3	Uklonite sve čvorove iz svih klastera, kao što je navedeno u odjeljku Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz okruženja Partner Hub pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite… na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici pregleda hibridne zaštite podataka i kliknite Deaktiviraj HDS na kartici HDS status.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka za više klijenata

Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Hibridna zaštita podataka za više klijenata organizacijama omogućuje upotrebu HDS-a putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ovo postavljanje omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i po potrebi stvaraju HDS klastere. Svaka instanca može podržavati više korisničkih organizacija za razliku od uobičajene HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Taj je pristup ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna zaštita podataka s više klijenata osigurava suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje korisnika s kojima već imaju uspostavljeni odnos.
mogućnost za lokalnu tehničku podršku, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Cilj je ovog dokumenta pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u sustavu hibridne zaštite podataka za više klijenata.

Ograničenja sigurnosti hibridnih podataka za više klijenata

Partnerske organizacije ne smiju imati aktivnu postojeću HDS implementaciju u okruženju Control Hub.
Klijent ili korisničke organizacije kojima želi upravljati partner ne smiju imati postojeću HDS implementaciju u okruženju Control Hub.
Nakon što partner implementira HDS za više klijenata, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju upotrebljavati HDS za više klijenata za svoje usluge šifriranja.

Organizacija partnera i korisničke organizacije kojima upravljaju bit će na istoj HDS implementaciji za više klijenata.

Partnerska organizacija više neće upotrebljavati KMS u oblaku nakon implementacije HDS-a za više klijenata.
Nema mehanizma za premještanje ključeva natrag u KMS u oblaku nakon HDS implementacije.
Trenutačno svaka HDS implementacija za više klijenata može imati samo jedan klaster s više čvorova ispod sebe.
Uloge administratora imaju određena ograničenja. Pojedinosti potražite u odjeljku u nastavku.

Uloge u hibridnoj zaštiti podataka s više klijenata

Potpuni partnerski administrator – može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Partnerski administrator – može upravljati postavkama za korisnike koje je administrator dodijelio ili koje su dodijeljene korisniku.
Potpuni administrator – administrator partnerske organizacije koja je ovlaštena za izvršavanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjela uloga.

Sveobuhvatno postavljanje HDS-a za više klijenata i upravljanje svim organizacijama korisnika – potrebna su prava potpunog partnerskog administratora i prava potpunog administratora.
Upravljanje dodijeljenim organizacijama klijenata – potrebna su prava partnerskog administratora i potpunog administratora.

Arhitektura sigurnosnog područja

Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.

Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju certifikata x.509 za upotrebu s implementacijom hibridne zaštite podataka za više klijenata potražite u članku Priprema okruženja.

Očekivanja za implementaciju hibridne zaštite podataka

Implementacija hibridne zaštite podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s vlastitim ključevima za šifriranje.

Da biste implementirali hibridnu zaštitu podataka, morate navesti:

Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Oprema, softver i pristup mreži opisani u poglavlju Priprema vašeg okruženja.

Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.

Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka za više klijenata:

Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, izgradnju HDS klastera, dodavanje organizacija klijenata u klaster i upravljanje glavnim ključevima korisnika (CMK-ovi). Time ćete svim korisnicima vaših korisničkih organizacija omogućiti upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Partner Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Model implementacije hibridne zaštite podataka

Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)

Model implementacije hibridne zaštite podataka

Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)

Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.

Čvorovi se aktiviraju kada ih registrirate u okruženju Partner Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.

Podatkovni centar u pripravnosti za oporavak od katastrofa

Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.

Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške.

Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
2. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – nije potrebna dodatna provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi certifikata X.509 za implementaciju hibridne zaštite podataka
Uvjet	Pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, npr. `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS br. 12 zaštićena lozinkom Koristite prilagođeni naziv `kms-privatnog ključa` kako biste označili certifikat, privatni ključ i sve međucertifikate za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
Instaliran i pokrenut je VMware ESXi 7.0 (ili noviji).

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016., 2017., 2019. ili 2022. (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i Kumulativno ažuriranje 2 ili novije verzije.
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)	Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge WebexMrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite je li za vašu partnersku organizaciju omogućena značajka HDS za više klijenata i preuzmite vjerodajnice računa s punim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve iz zahtjeva certifikata X.509.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje.
9	Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera, a zatim kliknite na Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna zaštita podataka, a zatim kliknite na Postavljanje. Klikom na Postavljanje u okruženju Partner Hub ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršavanja ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi datoteku .OVA na kartici Instaliraj i konfiguriraj softver . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć . Kliknite na Postavke > Pomoć > Preuzimanje softvera hibridne zaštite podataka. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
4	Opcionalno kliknite na Prikaži vodič o implementaciji hibridne zaštite podataka kako biste provjerili postoji li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

ciscocitg/hds-setup-fedramp: stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker povlačenje ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker povlačenje ciscocitg/hds-setup-fedramp: stabilan

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan

U uobičajenim okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan

U FedRAMP okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru http://127.0.0.1:8080i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Početak rada.

9

Na stranici ISO uvoza imate sljedeće mogućnosti:

Ne– ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da – ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite na Nastavi.
Ako je vaš certifikat u redu, kliknite na Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi upotrebljavati HDS lanac certifikata i privatni ključ iz prethodnog ISO standarda?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite na Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberite Vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL poslužitelj, dobit ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u polju Korisničko ime .
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u polju Korisničko ime .
Unesite adresu poslužitelja baze podataka u obrascu : ili :.

Primjer:
dbhost.primjer.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako koristite provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.primjer.org:1433
Unesite naziv baze podataka.
Unesite Korisničko ime i Lozinku korisnika sa svim privilegijama u bazu podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u polju Glavno računalo i ulaz baze podataka . Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava prijavu na Syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako svoj poslužitelj postavite za upotrebu TLS šifriranja, označite Je li vaš syslog poslužitelj konfiguriran za SSL šifriranje?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao tcp://10.92.43.23:514.
Na padajućem izborniku Odabir završetka zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null bajt -- \x00
- Novija linija -- \n– odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxVeličina: 10

15

Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga .

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Da biste zatvorili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberite Datoteka > Implementacija OVF predloška.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje.
4	Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje.
5	Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite na Dalje.
7	Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje.
8	Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM.
9	Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala– unesite FQDN (naziv glavnog računala i domenu) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije prelaziti 64 znaka. IP adresa– unesite IP adresu za unutarnje sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska– unesite adresu maske podmreže u točkasto-decimalnoj oznaci. Na primjer, 255.255.255.0. Pristupnik– unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji– unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji– unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključeno napajanje. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `administrator` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju .
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu Hardver kartice Konfiguracija kliknite na Pohrana.
Na popisu Trgovine podacima desnom tipkom miša kliknite na bazu podataka za svoje VM-ove, a zatim Pretraži bazu podataka.
Kliknite ikonu Prenesi datoteke, a zatim Prenesi datoteku.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite na Otvori.
Kliknite Da da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite na U redu da biste prihvatili upozorenje o ograničenim opcijama za uređivanje.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje s ISO datoteke podatkovnog centra i prijeđite na lokaciju gdje ste prenijeli ISO datoteku za konfiguraciju.
Označite Povezano i Poveži se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	U web-preglednik unesite URL za postavljanje HDS čvora `https://[HDS Node IP ili FQDN]/setup,` unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol– odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavljanje VM-a hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Postavi.
4	Na stranici koja se otvara kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite na Idi na čvor. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na stranici Hibridna zaštita podataka u kartici Resursi prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comizborniku na lijevoj strani zaslona odaberite Usluge . U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Prikaži sve. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se na stranici Resursi . Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite na Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite na Dodaj. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Skočna poruka dodana čvor pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte HDS za više klijenata na Čvorištu partnera

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi upotrebljavati HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje HDS klastera za više klijenata s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke.
4	Kliknite na Aktiviraj HDS na kartici Status HDS .

Dodavanje organizacija klijenta u Čvorište partnera

U ovom zadatku dodijelite organizacije korisnika svom klasteru hibridne zaštite podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Kliknite na klaster kojem želite da se dodijeli korisnik.
5	Otvorite karticu Dodijeljeni korisnici .
6	Kliknite na Dodaj korisnike.
7	Na padajućem izborniku odaberite korisnika kojeg želite dodati.
8	Kliknite na Dodaj, korisnik će se dodati u klaster.
9	Ponovite korake od 6 do 8 kako biste dodali više korisnika u svoj klaster.
10	Kliknite na Gotovo pri dnu zaslona nakon što dodate korisnike.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je opisano u odjeljku Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a kako biste dovršili postupak postavljanja.

Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kao što je navedeno u odjeljku Dodavanje organizacija klijenta u okruženju Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte vezu sa svojom bazom podataka kako biste izvršili CMK upravljanje.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Izradi CMK za sve organizacije ili Izradi CMK – kliknite taj gumb na natpisu na vrhu zaslona da biste izradili CMK-ove za sve novododane organizacije. Kliknite na gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite na Izradi CMK-ove da biste izradili CMK-ove za sve novododane organizacije. Kliknite na više od statusa određene organizacije na čekanju za upravljanje CMK-om, a zatim kliknite na Izradi CMK da biste izradili CMK za tu organizaciju.
12	Nakon uspješne izrade CMK-a, status tablice promijenit će se iz CMK upravljanja na čekanju u CMK upravljano.
13	Ako izrada CMK-a nije uspjela, prikazat će se pogreška.

Ukloni organizacije klijenta

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Na kartici Resursi kliknite klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni korisnici.
6	Na popisu korisničkih organizacija koje se prikazuju kliknite ... na desnoj strani korisničke organizacije koju želite ukloniti i kliknite na Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivanjem CMK-ova korisničkih organizacija kao što je navedeno u odjeljku Opoziv CMK-ova klijenata uklonjenih iz HDS-a.

Povucite CMK-ove klijenata uklonjene iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera u skladu s uputama iz odjeljka Uklanjanje organizacija klijenta. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Uskraćivanje CMK-a za sve organizacije ili Uskraćivanje CMK-a – kliknite ovaj gumb na natpisu na vrhu zaslona da biste uskratili CMK-ove svih uklonjenih organizacija. Kliknite na gumb Upravljaj CMK-ovima na desnoj strani zaslona i kliknite na Opoziv CMK-ova da biste opozvali CMK-ove svih uklonjenih organizacija. Kliknite … u blizini CMK za opoziv status određene organizacije u tablici i kliknite Uskrati CMK za opoziv CMK-a za tu određenu organizaciju.
12	Nakon uspješnog opoziva CMK-a, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspio, prikazat će se pogreška.

Testiranje implementacije hibridne zaštite podataka

Upotrijebite ovaj postupak za testiranje scenarija šifriranja hibridne zaštite podataka s više klijenata.

Prije početka

Postavite implementaciju hibridne zaštite podataka za više klijenata.
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka za više klijenata.

1

Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika i zatim izradite prostor.

Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici izrađuju više neće biti dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta.

2

Šaljite poruke u novi prostor.

3

Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka.

Da biste provjerili da korisnik prvo uspostavi siguran kanal prema KMS-u, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2020-07-21 17:35:34.562 (+0000) INFORMACIJE KMS [pool-14-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Da biste provjerili korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:19.889 (+0000) INFORMACIJE KMS [pool-14-thread-31] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KLJUČ, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:21.975 (+0000) INFORMACIJE KMS [pool-14-thread-33] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE KLJUČA_KLJUČA, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog objekta resursa KMS-a (KRO) nakon izrade prostora ili drugog zaštićenog resursa, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:22.808 (+0000) INFORMACIJE KMS [pool-15-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE RESURSA_, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Praćenje stanja hibridne zaštite podataka

Pokazatelj statusa u okruženju Partner Hub pokazuje je li sve u redu s implementacijom hibridne zaštite podataka za više klijenata. Za proaktivno upozorenje registrirajte se za obavijesti e-poštom. Dobit ćete obavijest kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U okruženju Partner Hubodaberite Usluge na izborniku s lijeve strane zaslona.
2	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu zaštitu podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se izvršavaju u skladu s rasporedom nadogradnje za klaster. Kad nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili upotrijebiti zadani raspored 3:00 ujutro, dnevno, Sjedinjene Američke Države: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Postavi
4	Na stranici Resursi hibridne zaštite podataka odaberite klaster.
5	Kliknite karticu Postavke klastera .
6	Na stranici postavki klastera, u izborniku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora partnera.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno slušanje poslužitelja na priključku 8080". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Kada se to od vas zatraži, unesite vjerodajnice za prijavu korisnika u Partner Hub i zatim kliknite na Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Da biste zatvorili alat za postavljanje, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u okruženju Partner Hub.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD pogon 1`, odaberite mogućnost spremanja iz ISO datoteke i pronađite mjesto na koje ste preuzeli novu konfiguracijsku ISO datoteku. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Ovaj postupak upotrijebite za uklanjanje čvora hibridne zaštite podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualno računalo kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo.

2

Ukloni čvor:

Prijavite se u Čvorište partnera, a zatim odaberite Usluge.
Na kartici hibridne zaštite podataka kliknite na Prikaži sve kako biste prikazali stranicu Resursi hibridne zaštite podataka.
Odaberite klaster za prikaz ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Poništi registraciju ovog čvora na ploči koja se pojavljuje s desne strane
Također možete poništiti registraciju čvora klikom na… na desnoj strani čvora i odabirom opcije Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.)

Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti

Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.

Prije početka

Poništite registraciju svih čvorova iz okruženja Partner Hub kao što je navedeno u odjeljku Uklanjanje čvora. Upotrijebite najnoviju ISO datoteku koja je konfigurirana s čvorovima klastera koji je prethodno bio aktivan kako biste izvršili postupak prebacivanja naveden u nastavku.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta.
7	Registrirajte čvor u okruženju Partner Hub. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti.

Što učiniti sljedeće

Nakon prebacivanja u slučaju pogreške, ako primarni podatkovni centar ponovno postane aktivan, poništite registraciju čvorova podatkovnog centra u pripravnosti i ponovite postupak konfiguriranja ISO-a i registriranja čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Ukloni ISO nakon HDS konfiguracije

Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteke podatkovnog centra.
4	Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta.
5	Ponovi za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:

Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
Dešifriranje poruka i naziva prostora nije uspjelo za:
- Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
- Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavljanjem hibridne zaštite podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje poruke e-pošte na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Tablica 1. Zajednički problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom.
Pogreška pri povezivanju lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge.
Pogreška pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku.
Prekinuta je registracija usluge u oblaku.	Registracija za usluge u oblaku prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u okruženju Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Provjera autentičnosti za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Otvaranje datoteke lokalne tipkovnice nije uspjelo.	Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice.
Certifikat lokalnog poslužitelja nije valjan.	Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata.
Ne može se objaviti metrika.	Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku.
Direktorij /media/configdrive/hds ne postoji.	Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira.
Postavljanje organizacije klijenta nije dovršeno za dodane organizacije	Dovršite postavljanje izradom CMK-a za novododane organizacije klijenata pomoću alata za postavljanje HDS-a.
Postavljanje organizacije klijenta nije dovršeno za uklonjene organizacije	Dovršite postavljanje povlačenjem CMK-a organizacija klijenta koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema sigurnosti hibridnih podataka

Upotrijebite sljedeće opće smjernice pri rješavanju problema s hibridnom sigurnošću podataka.

1	Pregledajte okruženje Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Pogledajte sliku u nastavku za referencu.
2	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. Filtrirajte riječi kao što su "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
3	Obratite se Ciscovoj podršci.

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Partner Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, korisnici aplikacije Webex u korisničkim organizacijama više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat).

Upotrijebite OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite pojedinosti. `openssl x509 -tekst -noout -u hdsnode.pem`
3	Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i korijenske CA certifikate, u sljedećem formatu: `----BEGIN CERTIFIKAT------ ### Certifikat poslužitelja. ### -----END CERTIFIKAT------------BEGIN CERTIFIKAT------ ### Srednji CA certifikat. ### -----END CERTIFIKAT-------------BEGIN CERTIFIKAT----- ### Korijenski CA certifikat. ### -----END CERTIFIKAT------`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -izvoz -inkey hdsnode.key -u hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite pojedinosti certifikata poslužitelja. `openssl pkcs12 -u hdsnode.p12` Nakon upita unesite lozinku za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat linije `friendlyName: kms-privatni ključ`. Primjer: bash$ openssl pkcs12 -u hdsnode.p12 Unesite lozinku za uvoz: Mac je potvrdio OK Bag atributi prijateljski prilagođeniName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ključni atributi: Unesite PEM lozinku: Provjera – unesite PEM lozinku: -----POČETAK ŠIFRIRANOG PRIVATNOG KLJUČA----- -----END ŠIFRIRANI PRIVATNI KLJUČ------- Torba Atributi friendlyName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Pokušajmo šifrirati ovlaštenje X3,O=Pokušajmo šifrirati,C=US subject=/C=US/O=Pokušajmo šifrirati ovlaštenje X3 izdavač=/O=Digitalni potpis Trust Co./CN=DST Root CA X3 ------BEGIN CERTIFIKAT----- -----END CERTIFIKAT----

Što učiniti sljedeće

Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u odjeljku Izrada ISO konfiguracije za HDS organizatore.

Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlazne metrike

Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku o sinkroniziranim i asinkronim niti; metriku o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku o datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).

Dolazni promet

Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
Nadogradnje softvera čvora

Konfiguriranje proxyja lignji za sigurnost hibridnih podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavu websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol direktivu u squid.conf:

on_unsupported_protocol tunel sve

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl:server_name_regex živin-veza ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump korak1 sve ssl_bump gleda korak2 sve ssl_bump korak3 sve

Novi i promijenjeni podaci

Ova tablica obuhvaća nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne zaštite podataka za više klijenata.

Datum	Izvršene promjene
30. siječnja 2025.	Dodana verzija 2022 SQL poslužitelja na popis podržanih SQL poslužitelja u Preduvjeti poslužitelja baze podataka.
15. siječnja 2025.	Dodana su ograničenja hibridne zaštite podataka za više klijenata.
08. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klikom na Postavljanje na HDS kartici u okruženju Partner Hub važan korak u postupku instalacije.
07. siječnja 2025.	Ažurirani zahtjevi virtualnog glavnog računala, tijek zadatka implementacije hibridne zaštite podataka i instalirajte HDS glavno računalo OVA za prikaz novih zahtjeva za ESXi 7.0.
13. prosinca 2024.	Prvo objavljeno.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadatka deaktivacije HDS-a za više klijenata

Slijedite ove korake kako biste u potpunosti deaktivirali HDS za više klijenata.

Prije početka

Ovaj bi zadatak trebao izvršiti samo potpuni partnerski administrator.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je navedeno u odjeljku Uklanjanje organizacija klijenta.
2	Povucite CMK-ove svih korisnika, kao što je navedeno u odjeljku Povucite CMK-ove klijenata uklonjene iz HDS-a..
3	Uklonite sve čvorove iz svih klastera, kao što je navedeno u odjeljku Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz okruženja Partner Hub pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite… na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici pregleda hibridne zaštite podataka i kliknite Deaktiviraj HDS na kartici HDS status.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka za više klijenata

Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Hibridna zaštita podataka za više klijenata organizacijama omogućuje upotrebu HDS-a putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ovo postavljanje omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i po potrebi stvaraju HDS klastere. Svaka instanca može podržavati više korisničkih organizacija za razliku od uobičajene HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Taj je pristup ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna zaštita podataka s više klijenata osigurava suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje korisnika s kojima već imaju uspostavljeni odnos.
mogućnost za lokalnu tehničku podršku, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Cilj je ovog dokumenta pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u sustavu hibridne zaštite podataka za više klijenata.

Ograničenja sigurnosti hibridnih podataka za više klijenata

Partnerske organizacije ne smiju imati aktivnu postojeću HDS implementaciju u okruženju Control Hub.
Klijent ili korisničke organizacije kojima želi upravljati partner ne smiju imati postojeću HDS implementaciju u okruženju Control Hub.
Nakon što partner implementira HDS za više klijenata, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju upotrebljavati HDS za više klijenata za svoje usluge šifriranja.

Organizacija partnera i korisničke organizacije kojima upravljaju bit će na istoj HDS implementaciji za više klijenata.

Partnerska organizacija više neće upotrebljavati KMS u oblaku nakon implementacije HDS-a za više klijenata.
Nema mehanizma za premještanje ključeva natrag u KMS u oblaku nakon HDS implementacije.
Trenutačno svaka HDS implementacija za više klijenata može imati samo jedan klaster s više čvorova ispod sebe.
Uloge administratora imaju određena ograničenja. Pojedinosti potražite u odjeljku u nastavku.

Uloge u hibridnoj zaštiti podataka s više klijenata

Potpuni partnerski administrator – može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Partnerski administrator – može upravljati postavkama za korisnike koje je administrator dodijelio ili koje su dodijeljene korisniku.
Potpuni administrator – administrator partnerske organizacije koja je ovlaštena za izvršavanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjela uloga.

Sveobuhvatno postavljanje HDS-a za više klijenata i upravljanje svim organizacijama korisnika – potrebna su prava potpunog partnerskog administratora i prava potpunog administratora.
Upravljanje dodijeljenim organizacijama klijenata – potrebna su prava partnerskog administratora i potpunog administratora.

Arhitektura sigurnosnog područja

Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.

Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju certifikata x.509 za upotrebu s implementacijom hibridne zaštite podataka za više klijenata potražite u članku Priprema okruženja.

Očekivanja za implementaciju hibridne zaštite podataka

Implementacija hibridne zaštite podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s vlastitim ključevima za šifriranje.

Da biste implementirali hibridnu zaštitu podataka, morate navesti:

Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Oprema, softver i pristup mreži opisani u poglavlju Priprema vašeg okruženja.

Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.

Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka za više klijenata:

Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, izgradnju HDS klastera, dodavanje organizacija klijenata u klaster i upravljanje glavnim ključevima korisnika (CMK-ovi). Time ćete svim korisnicima vaših korisničkih organizacija omogućiti upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Partner Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Model implementacije hibridne zaštite podataka

Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)

Model implementacije hibridne zaštite podataka

Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)

Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.

Čvorovi se aktiviraju kada ih registrirate u okruženju Partner Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.

Podatkovni centar u pripravnosti za oporavak od katastrofa

Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.

Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške.

Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
2. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – nije potrebna dodatna provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi certifikata X.509 za implementaciju hibridne zaštite podataka
Uvjet	Pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da upotrijebite naziv koji odražava vašu organizaciju, npr. `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS br. 12 zaštićena lozinkom Koristite prilagođeni naziv `kms-privatnog ključa` kako biste označili certifikat, privatni ključ i sve međucertifikate za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
Instaliran i pokrenut je VMware ESXi 7.0 (ili noviji).

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016., 2017., 2019. ili 2022. (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i Kumulativno ažuriranje 2 ili novije verzije.
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)	Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge WebexMrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se taj problem pojavi, zaobilaženje (ne provjeravanje) prometa u wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite je li za vašu partnersku organizaciju omogućena značajka HDS za više klijenata i preuzmite vjerodajnice računa s punim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve iz zahtjeva certifikata X.509.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje.
9	Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera, a zatim kliknite na Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna zaštita podataka, a zatim kliknite na Postavljanje. Klikom na Postavljanje u okruženju Partner Hub ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršavanja ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi datoteku .OVA na kartici Instaliraj i konfiguriraj softver . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć . Kliknite na Postavke > Pomoć > Preuzimanje softvera hibridne zaštite podataka. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
4	Opcionalno kliknite na Prikaži vodič o implementaciji hibridne zaštite podataka kako biste provjerili postoji li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

ciscocitg/hds-setup-fedramp: stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker povlačenje ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker povlačenje ciscocitg/hds-setup-fedramp: stabilan

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan

U uobičajenim okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan

U FedRAMP okruženjima s HTTP proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru http://127.0.0.1:8080i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Početak rada.

9

Na stranici ISO uvoza imate sljedeće mogućnosti:

Ne– ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da – ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite na Nastavi.
Ako je vaš certifikat u redu, kliknite na Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi upotrebljavati HDS lanac certifikata i privatni ključ iz prethodnog ISO standarda?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite na Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberite Vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL poslužitelj, dobit ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u polju Korisničko ime .
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u polju Korisničko ime .
Unesite adresu poslužitelja baze podataka u obrascu : ili :.

Primjer:
dbhost.primjer.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako koristite provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.primjer.org:1433
Unesite naziv baze podataka.
Unesite Korisničko ime i Lozinku korisnika sa svim privilegijama u bazu podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u polju Glavno računalo i ulaz baze podataka . Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava prijavu na Syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako svoj poslužitelj postavite za upotrebu TLS šifriranja, označite Je li vaš syslog poslužitelj konfiguriran za SSL šifriranje?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao tcp://10.92.43.23:514.
Na padajućem izborniku Odabir završetka zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null bajt -- \x00
- Novija linija -- \n– odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxVeličina: 10

15

Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga .

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Da biste zatvorili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberite Datoteka > Implementacija OVF predloška.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje.
4	Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje.
5	Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite na Dalje.
7	Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje.
8	Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM.
9	Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala– unesite FQDN (naziv glavnog računala i domenu) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije prelaziti 64 znaka. IP adresa– unesite IP adresu za unutarnje sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska– unesite adresu maske podmreže u točkasto-decimalnoj oznaci. Na primjer, 255.255.255.0. Pristupnik– unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji– unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji– unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključeno napajanje. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `administrator` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju .
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu Hardver kartice Konfiguracija kliknite na Pohrana.
Na popisu Trgovine podacima desnom tipkom miša kliknite na bazu podataka za svoje VM-ove, a zatim Pretraži bazu podataka.
Kliknite ikonu Prenesi datoteke, a zatim Prenesi datoteku.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite na Otvori.
Kliknite Da da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite na U redu da biste prihvatili upozorenje o ograničenim opcijama za uređivanje.
Kliknite CD/DVD pogon 1, odaberite opciju za montiranje s ISO datoteke podatkovnog centra i prijeđite na lokaciju gdje ste prenijeli ISO datoteku za konfiguraciju.
Označite Povezano i Poveži se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	U web-preglednik unesite URL za postavljanje HDS čvora `https://[HDS Node IP ili FQDN]/setup,` unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol– odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavljanje VM-a hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Postavi.
4	Na stranici koja se otvara kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite na Idi na čvor. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na stranici Hibridna zaštita podataka u kartici Resursi prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comizborniku na lijevoj strani zaslona odaberite Usluge . U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Prikaži sve. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se na stranici Resursi . Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite na Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite na Dodaj. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Skočna poruka dodana čvor pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte HDS za više klijenata na Čvorištu partnera

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi upotrebljavati HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje HDS klastera za više klijenata s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke.
4	Kliknite na Aktiviraj HDS na kartici Status HDS .

Dodavanje organizacija klijenta u Čvorište partnera

U ovom zadatku dodijelite organizacije korisnika svom klasteru hibridne zaštite podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Kliknite na klaster kojem želite da se dodijeli korisnik.
5	Otvorite karticu Dodijeljeni korisnici .
6	Kliknite na Dodaj korisnike.
7	Na padajućem izborniku odaberite korisnika kojeg želite dodati.
8	Kliknite na Dodaj, korisnik će se dodati u klaster.
9	Ponovite korake od 6 do 8 kako biste dodali više korisnika u svoj klaster.
10	Kliknite na Gotovo pri dnu zaslona nakon što dodate korisnike.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je opisano u odjeljku Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a kako biste dovršili postupak postavljanja.

Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kao što je navedeno u odjeljku Dodavanje organizacija klijenta u okruženju Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte vezu sa svojom bazom podataka kako biste izvršili CMK upravljanje.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Izradi CMK za sve organizacije ili Izradi CMK – kliknite taj gumb na natpisu na vrhu zaslona da biste izradili CMK-ove za sve novododane organizacije. Kliknite na gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite na Izradi CMK-ove da biste izradili CMK-ove za sve novododane organizacije. Kliknite na više od statusa određene organizacije na čekanju za upravljanje CMK-om, a zatim kliknite na Izradi CMK da biste izradili CMK za tu organizaciju.
12	Nakon uspješne izrade CMK-a, status tablice promijenit će se iz CMK upravljanja na čekanju u CMK upravljano.
13	Ako izrada CMK-a nije uspjela, prikazat će se pogreška.

Ukloni organizacije klijenta

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Na kartici Resursi kliknite klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni korisnici.
6	Na popisu korisničkih organizacija koje se prikazuju kliknite ... na desnoj strani korisničke organizacije koju želite ukloniti i kliknite na Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivanjem CMK-ova korisničkih organizacija kao što je navedeno u odjeljku Opoziv CMK-ova klijenata uklonjenih iz HDS-a.

Povucite CMK-ove klijenata uklonjene iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera u skladu s uputama iz odjeljka Uklanjanje organizacija klijenta. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Uskraćivanje CMK-a za sve organizacije ili Uskraćivanje CMK-a – kliknite ovaj gumb na natpisu na vrhu zaslona da biste uskratili CMK-ove svih uklonjenih organizacija. Kliknite na gumb Upravljaj CMK-ovima na desnoj strani zaslona i kliknite na Opoziv CMK-ova da biste opozvali CMK-ove svih uklonjenih organizacija. Kliknite … u blizini CMK za opoziv status određene organizacije u tablici i kliknite Uskrati CMK za opoziv CMK-a za tu određenu organizaciju.
12	Nakon uspješnog opoziva CMK-a, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspio, prikazat će se pogreška.

Testiranje implementacije hibridne zaštite podataka

Upotrijebite ovaj postupak za testiranje scenarija šifriranja hibridne zaštite podataka s više klijenata.

Prije početka

Postavite implementaciju hibridne zaštite podataka za više klijenata.
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka za više klijenata.

1

Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika i zatim izradite prostor.

Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici izrađuju više neće biti dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta.

2

Šaljite poruke u novi prostor.

3

Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka.

Da biste provjerili da korisnik prvo uspostavi siguran kanal prema KMS-u, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2020-07-21 17:35:34.562 (+0000) INFORMACIJE KMS [pool-14-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Da biste provjerili korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:19.889 (+0000) INFORMACIJE KMS [pool-14-thread-31] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KLJUČ, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:21.975 (+0000) INFORMACIJE KMS [pool-14-thread-33] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE KLJUČA_KLJUČA, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog objekta resursa KMS-a (KRO) nakon izrade prostora ili drugog zaštićenog resursa, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:22.808 (+0000) INFORMACIJE KMS [pool-15-thread-1] - [KMS:ZAHTJEV] primljeno, uređajId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=PRIKUPLJANJE RESURSA_, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Praćenje stanja hibridne zaštite podataka

Pokazatelj statusa u okruženju Partner Hub pokazuje je li sve u redu s implementacijom hibridne zaštite podataka za više klijenata. Za proaktivno upozorenje registrirajte se za obavijesti e-poštom. Dobit ćete obavijest kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U okruženju Partner Hubodaberite Usluge na izborniku s lijeve strane zaslona.
2	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu zaštitu podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se izvršavaju u skladu s rasporedom nadogradnje za klaster. Kad nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili upotrijebiti zadani raspored 3:00 ujutro, dnevno, Sjedinjene Američke Države: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Postavi
4	Na stranici Resursi hibridne zaštite podataka odaberite klaster.
5	Kliknite karticu Postavke klastera .
6	Na stranici postavki klastera, u izborniku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora partnera.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://POSLUŽITELJ_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBALNI_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `ciscocitg/hds-setup-fedramp: stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker povlačenje ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker povlačenje ciscocitg/hds-setup-fedramp: stabilan` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-postavljanje: stabilan` U uobičajenim okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp: stabilan` U FedRAMP okruženjima s HTTP proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `izlaz -p 8080:8080 --rm -it -e GLOBALNI_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kada je spremnik pokrenut, vidjet ćete "Ekspresno slušanje poslužitelja na priključku 8080". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Kada se to od vas zatraži, unesite vjerodajnice za prijavu korisnika u Partner Hub i zatim kliknite na Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Da biste zatvorili alat za postavljanje, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u okruženju Partner Hub.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD pogon 1`, odaberite mogućnost spremanja iz ISO datoteke i pronađite mjesto na koje ste preuzeli novu konfiguracijsku ISO datoteku. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Ovaj postupak upotrijebite za uklanjanje čvora hibridne zaštite podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualno računalo kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo.

2

Ukloni čvor:

Prijavite se u Čvorište partnera, a zatim odaberite Usluge.
Na kartici hibridne zaštite podataka kliknite na Prikaži sve kako biste prikazali stranicu Resursi hibridne zaštite podataka.
Odaberite klaster za prikaz ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Poništi registraciju ovog čvora na ploči koja se pojavljuje s desne strane
Također možete poništiti registraciju čvora klikom na… na desnoj strani čvora i odabirom opcije Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.)

Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti

Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.

Prije početka

Poništite registraciju svih čvorova iz okruženja Partner Hub kao što je navedeno u odjeljku Uklanjanje čvora. Upotrijebite najnoviju ISO datoteku koja je konfigurirana s čvorovima klastera koji je prethodno bio aktivan kako biste izvršili postupak prebacivanja naveden u nastavku.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta.
7	Registrirajte čvor u okruženju Partner Hub. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti.

Što učiniti sljedeće

Nakon prebacivanja u slučaju pogreške, ako primarni podatkovni centar ponovno postane aktivan, poništite registraciju čvorova podatkovnog centra u pripravnosti i ponovite postupak konfiguriranja ISO-a i registriranja čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Ukloni ISO nakon HDS konfiguracije

Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteke podatkovnog centra.
4	Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta.
5	Ponovi za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:

Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
Dešifriranje poruka i naziva prostora nije uspjelo za:
- Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
- Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavljanjem hibridne zaštite podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje poruke e-pošte na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Tablica 1. Zajednički problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom.
Pogreška pri povezivanju lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge.
Pogreška pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku.
Prekinuta je registracija usluge u oblaku.	Registracija za usluge u oblaku prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u okruženju Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Provjera autentičnosti za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Otvaranje datoteke lokalne tipkovnice nije uspjelo.	Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice.
Certifikat lokalnog poslužitelja nije valjan.	Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata.
Ne može se objaviti metrika.	Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku.
Direktorij /media/configdrive/hds ne postoji.	Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira.
Postavljanje organizacije klijenta nije dovršeno za dodane organizacije	Dovršite postavljanje izradom CMK-a za novododane organizacije klijenata pomoću alata za postavljanje HDS-a.
Postavljanje organizacije klijenta nije dovršeno za uklonjene organizacije	Dovršite postavljanje povlačenjem CMK-a organizacija klijenta koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema sigurnosti hibridnih podataka

Upotrijebite sljedeće opće smjernice pri rješavanju problema s hibridnom sigurnošću podataka.

1	Pregledajte okruženje Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Pogledajte sliku u nastavku za referencu.
2	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. Filtrirajte riječi kao što su "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
3	Obratite se Ciscovoj podršci.

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Partner Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, korisnici aplikacije Webex u korisničkim organizacijama više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat).

Upotrijebite OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite pojedinosti. `openssl x509 -tekst -noout -u hdsnode.pem`
3	Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i korijenske CA certifikate, u sljedećem formatu: `----BEGIN CERTIFIKAT------ ### Certifikat poslužitelja. ### -----END CERTIFIKAT------------BEGIN CERTIFIKAT------ ### Srednji CA certifikat. ### -----END CERTIFIKAT-------------BEGIN CERTIFIKAT----- ### Korijenski CA certifikat. ### -----END CERTIFIKAT------`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -izvoz -inkey hdsnode.key -u hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite pojedinosti certifikata poslužitelja. `openssl pkcs12 -u hdsnode.p12` Nakon upita unesite lozinku za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat linije `friendlyName: kms-privatni ključ`. Primjer: bash$ openssl pkcs12 -u hdsnode.p12 Unesite lozinku za uvoz: Mac je potvrdio OK Bag atributi prijateljski prilagođeniName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ključni atributi: Unesite PEM lozinku: Provjera – unesite PEM lozinku: -----POČETAK ŠIFRIRANOG PRIVATNOG KLJUČA----- -----END ŠIFRIRANI PRIVATNI KLJUČ------- Torba Atributi friendlyName: ID lokalnog ključa za privatni ključ: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Pokušajmo šifrirati ovlaštenje X3,O=Pokušajmo šifrirati,C=US subject=/C=US/O=Pokušajmo šifrirati ovlaštenje X3 izdavač=/O=Digitalni potpis Trust Co./CN=DST Root CA X3 ------BEGIN CERTIFIKAT----- -----END CERTIFIKAT----

Što učiniti sljedeće

Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Upotrijebit ćete datoteku hdsnode.p12 i lozinku koju ste za nju postavili u odjeljku Izrada ISO konfiguracije za HDS organizatore.

Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlazne metrike

Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku o sinkroniziranim i asinkronim niti; metriku o upozorenjima koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku o datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).

Dolazni promet

Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
Nadogradnje softvera čvora

Konfiguriranje proxyja lignji za sigurnost hibridnih podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavu websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za pravilan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol direktivu u squid.conf:

on_unsupported_protocol tunel sve

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim na squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl:server_name_regex živin-veza ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump korak1 sve ssl_bump gleda korak2 sve ssl_bump korak3 sve

Novi i promijenjeni podaci

Ova tablica obuhvaća nove značajke ili funkcije, promjene u postojećem sadržaju i veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne zaštite podataka za više klijenata.

Datum	Izvršene promjene
04. ožujka 2025.	Dodan je alat za pokretanje HDS postavljanja pomoću odjeljka Podman Desktop . Dodana je napomena u Preduvjeti za radnu površinu za docker koji korisnicima pruža alternativnu opciju otvorenog koda. Ažurirane značajke Izradite ISO konfiguraciju za HDS organizatore i Promijenite konfiguraciju čvora s uputama za upotrebu radne površine Podman za korisnike bez licence za radnu površinu Docker.
30. siječnja 2025.	Dodana verzija 2022 SQL poslužitelja na popis podržanih SQL poslužitelja u Preduvjeti poslužitelja baze podataka.
15. siječnja 2025.	Dodano je Ograničenja hibridne zaštite podataka za više klijenata.
08. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klikom na Postavljanje na HDS kartici u okruženju Partner Hub važan korak u postupku instalacije.
07. siječnja 2025.	Ažurirani zahtjevi virtualnog glavnog računala, tijek zadatka implementacije hibridne zaštite podataka i instalirajte HDS glavno računalo OVA za prikaz novih zahtjeva za ESXi 7.0.
13. prosinca 2024.	Prvo objavljeno.

Deaktiviraj sigurnost hibridnih podataka za više klijenata

Tijek zadatka deaktivacije HDS-a za više klijenata

Slijedite ove korake kako biste u potpunosti deaktivirali HDS za više klijenata.

Prije početka

Ovaj bi zadatak trebao izvršiti samo potpuni partnerski administrator.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je navedeno u odjeljku Uklanjanje organizacija klijenta.
2	Povucite CMK-ove svih korisnika, kao što je navedeno u odjeljku Povucite CMK-ove klijenata uklonjene iz HDS-a..
3	Uklonite sve čvorove iz svih klastera, kao što je navedeno u odjeljku Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz okruženja Partner Hub pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite… na desnoj strani klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici pregleda hibridne zaštite podataka i kliknite Deaktiviraj HDS na kartici HDS status.

Početak rada uz hibridnu zaštitu podataka za više klijenata

Pregled sigurnosti hibridnih podataka za više klijenata

Od prvog dana sigurnost podataka bila je glavni fokus u dizajniranju aplikacije Webex. Temelj ove sigurnosti sveobuhvatno je šifriranje sadržaja koje omogućuju klijenti aplikacije Webex u interakciji s uslugom za upravljanje ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama svi korisnici aplikacije Webex dobivaju sveobuhvatno šifriranje dinamičkim ključevima pohranjenim u KMS oblaku, u sigurnosnom području Cisco. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Hibridna zaštita podataka za više klijenata organizacijama omogućuje upotrebu HDS-a putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ovo postavljanje omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje i osigurava da su korisnički podaci korisničkih organizacija sigurni od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i po potrebi stvaraju HDS klastere. Svaka instanca može podržavati više korisničkih organizacija za razliku od uobičajene HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koje generiraju korisnici. Taj je pristup ograničen na organizacije korisnika i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna zaštita podataka s više klijenata osigurava suverenitet podataka i kontrolu podataka

Korisnički generirani sadržaj zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje korisnika s kojima već imaju uspostavljeni odnos.
mogućnost za lokalnu tehničku podršku, ako to pruža partner.
Podržava sadržaj sastanaka, poruka i poziva.

Cilj je ovog dokumenta pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u sustavu hibridne zaštite podataka za više klijenata.

Ograničenja sigurnosti hibridnih podataka za više klijenata

Partnerske organizacije ne smiju imati aktivnu postojeću HDS implementaciju u okruženju Control Hub.
Klijent ili korisničke organizacije kojima želi upravljati partner ne smiju imati postojeću HDS implementaciju u okruženju Control Hub.
Nakon što partner implementira HDS za više klijenata, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju upotrebljavati HDS za više klijenata za svoje usluge šifriranja.

Organizacija partnera i korisničke organizacije kojima upravljaju bit će na istoj HDS implementaciji za više klijenata.

Partnerska organizacija više neće upotrebljavati KMS u oblaku nakon implementacije HDS-a za više klijenata.
Nema mehanizma za premještanje ključeva natrag u KMS u oblaku nakon HDS implementacije.
Trenutačno svaka HDS implementacija za više klijenata može imati samo jedan klaster s više čvorova ispod sebe.
Uloge administratora imaju određena ograničenja. Pojedinosti potražite u odjeljku u nastavku.

Uloge u hibridnoj zaštiti podataka s više klijenata

Potpuni partnerski administrator – može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Partnerski administrator – može upravljati postavkama za korisnike koje je administrator dodijelio ili koje su dodijeljene korisniku.
Potpuni administrator – administrator partnerske organizacije koja je ovlaštena za izvršavanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjela uloga.

Sveobuhvatno postavljanje HDS-a za više klijenata i upravljanje svim organizacijama korisnika – potrebna su prava potpunog partnerskog administratora i prava potpunog administratora.
Upravljanje dodijeljenim organizacijama klijenata – potrebna su prava partnerskog administratora i potpunog administratora.

Arhitektura sigurnosnog područja

Arhitektura Webex oblaka razdvaja različite vrste usluga u zasebna područja ili domene povjerenja, kako je prikazano u nastavku.

Da biste dodatno razumjeli Hybrid Data Security, prvo pogledajmo ovaj čisti slučaj u oblaku, u kojem Cisco pruža sve funkcije u svojim područjima u oblaku. Usluga identiteta, jedino mjesto na kojem korisnici mogu biti izravno povezani s njihovim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od područja sigurnosti u podatkovnom centru B. Oba su odvojena od područja u kojem se šifrirani sadržaj u konačnici pohranjuje, u podatkovnom centru C.

Na ovom dijagramu klijent je aplikacija Webex koja se izvodi na korisničkom prijenosnom računalu i provjerena je autentičnost za uslugu identiteta. Kada korisnik sastavi poruku za slanje u prostor, poduzimaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom za upravljanje ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, A KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka je šifrirana prije nego napusti klijenta. Klijent ga šalje na uslugu indeksiranja, koja stvara šifrirane indekse pretraživanja koji će pomoći u budućim pretraživanjima sadržaja.
Šifrirana poruka šalje se službi za sukladnost radi provjere sukladnosti.
Šifrirana poruka pohranjena je u području pohrane.

Kada implementirate hibridnu zaštitu podataka, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u lokalni podatkovni centar. Druge usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovim područjima.

Suradnja s drugim organizacijama

Korisnici iz vaše organizacije mogu redovito upotrebljavati aplikaciju Webex za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor koji je u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH zaštićenog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev u Webex oblak putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A potvrđuje veze s KMS-ovima u drugim organizacijama pomoću PKI certifikata x.509. Detalje o generiranju certifikata x.509 za upotrebu s implementacijom hibridne zaštite podataka za više klijenata potražite u članku Priprema okruženja.

Očekivanja za implementaciju hibridne zaštite podataka

Implementacija hibridne zaštite podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s vlastitim ključevima za šifriranje.

Da biste implementirali hibridnu zaštitu podataka, morate navesti:

Sigurni podatkovni centar u državi koja je podržana lokacija za planove usluge Cisco Webex Teams.
Oprema, softver i pristup mreži opisani u poglavlju Priprema vašeg okruženja.

Potpuni gubitak ISO konfiguracije koji gradite za hibridnu zaštitu podataka ili baze podataka koju navedete rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i druge šifrirane podatke u aplikaciji Webex. Ako se to dogodi, moći ćete izraditi novu implementaciju, ali samo će novi sadržaj biti vidljiv. Da biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnim kopiranjem i oporavkom baze podataka i konfiguracijom ISO-a.
Budite spremni za izvođenje brzog oporavka katastrofe ako dođe do katastrofe, kao što je kvar baze podataka ili katastrofa podatkovnog centra.

Nema mehanizma za premještanje ključeva natrag u Oblak nakon HDS implementacije.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne zaštite podataka za više klijenata:

Postavljanje hibridne zaštite podataka– uključuje pripremu potrebne infrastrukture i instalaciju softvera hibridne zaštite podataka, izgradnju HDS klastera, dodavanje organizacija klijenata u klaster i upravljanje glavnim ključevima korisnika (CMK-ovi). Time ćete svim korisnicima vaših korisničkih organizacija omogućiti upotrebu vašeg klastera hibridne zaštite podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su opisane u sljedeća tri poglavlja.
Održavanje implementacije hibridne zaštite podataka– Webex oblak automatski pruža trenutne nadogradnje. Vaš IT odjel može pružiti podršku prvog stupnja za ovu implementaciju i angažirati podršku za Cisco po potrebi. U okruženju Partner Hub možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema– ako naiđete na probleme pri implementaciji ili upotrebi hibridne zaštite podataka, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Model implementacije hibridne zaštite podataka

Unutar podatkovnog centra poduzeća implementirate hibridnu zaštitu podataka kao jedan klaster čvorova na zasebnim virtualnim organizatorima. Čvorovi komuniciraju s Webex oblakom putem sigurnih web-utičnica i sigurnog HTTP-a.

Tijekom postupka instalacije pružamo vam OVA datoteku za postavljanje virtualnog uređaja na VM-ovima koje pružate. Pomoću alata za postavljanje HDS-a stvorite prilagođenu ISO datoteku za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne zaštite podataka koristi vašu pruženu bazu podataka Syslogd poslužitelja i PostgreSQL ili Microsoft SQL Server. (Konfigurirate Syslogd i pojedinosti o vezi baze podataka u alatu za postavljanje HDS-a.)

Model implementacije hibridne zaštite podataka

Najmanji broj čvorova koje možete imati u klasteru je dva. Preporučujemo najmanje tri po klasteru. Ako imate više čvorova, usluga neće biti prekinuta tijekom nadogradnje softvera ili druge aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor po jedan.)

Svi čvorovi u klasteru pristupaju istoj ključnoj datoteci podataka i aktivnosti zapisnika na isti syslog poslužitelj. Sami čvorovi su beskućnici i obrađuju ključne zahtjeve u okruglom robin načinu, prema uputama oblaka.

Čvorovi se aktiviraju kada ih registrirate u okruženju Partner Hub. Kako biste određeni čvor uklonili iz usluge, možete ga odjaviti i po potrebi ponovno registrirati.

Podatkovni centar u pripravnosti za oporavak od katastrofa

Tijekom implementacije postavite siguran podatkovni centar u pripravnosti. U slučaju katastrofe podatkovnog centra možete ručno neuspješno prebaciti implementaciju u podatkovni centar u pripravnosti.

Baze podataka aktivnih i podatkovnih centara u pripravnosti sinkronizirane su jedna s drugom, čime će se skratiti vrijeme potrebno za prebacivanje u slučaju pogreške.

Aktivni čvorovi hibridne zaštite podataka uvijek moraju biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Nema proxyja – zadano ako za integraciju proxyja ne koristite konfiguraciju spremišta vjerodajnica i proxy čvora HDS za postavljanje proxyja. Ažuriranje certifikata nije potrebno.
Prozirni proxy koji ne nadzire– čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne nadzire. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja HDS čvorovima recite koji će proxy poslužitelj i shema provjere autentičnosti upotrebljavati. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju.
2. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini.
3. Proxy protokol – Ovisno o tome što vaš proxy poslužitelj podržava, odaberite između sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti:
  - Ništa – nije potrebna dodatna provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost hibridnih podataka s više klijenata

Preduvjeti za licencu Cisco Webex

Za implementaciju hibridne zaštite podataka za više klijenata:

Partnerske organizacije: Obratite se partneru za Cisco ili upravitelju računa i provjerite je li značajka za više klijenata omogućena.
Organizacije klijenata: Morate imati Pro Pack za Cisco Webex Control Hub. (Pogledajte https://www.cisco.com/go/pro-pack.)

Preduvjeti za radnu površinu

Prije nego što instalirate HDS čvorove, trebat će vam Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez licence za radnu površinu Docker mogu koristiti alat za upravljanje spremnicima otvorenog koda kao što je Podman Desktop za pokretanje, upravljanje i izradu spremnika. Za više pojedinosti pogledajte Pokreni alat za postavljanje HDS-a pomoću radne površine Podman .

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi certifikata X.509 za implementaciju hibridne zaštite podataka
Uvjet	Pojedinosti
Potpis pouzdane ustanove za izdavanje certifikata (CA)	Prema zadanim postavkama vjerujemo CA-ovima na popisu Mozilla (uz iznimku WoSign i StartCom) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene zajedničkog naziva (CN) koji identificira vašu implementaciju hibridne zaštite podataka Nije zamjenski certifikat	CN ne mora biti dostupan ili domaćin uživo. Preporučujemo da, na primjer, upotrijebite naziv koji odražava vašu organizaciju `hds.company.com`. CN ne smije sadržavati znak * (zamjenski znak). CN se upotrebljava za potvrdu čvorova hibridne zaštite podataka klijentima aplikacije Webex. Svi čvorovi hibridne zaštite podataka u vašem klasteru upotrebljavaju isti certifikat. Vaš KMS se identificira pomoću domene CN, a ne bilo koje domene definirane u poljima SAN x.509v3. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	Softver KMS-a ne podržava SHA1 potpis za provjeru veza s KMS-ovima drugih organizacija.
Oblikovana kao datoteka PKCS br. 12 zaštićena lozinkom Upotrijebite prijateljsko ime za `kms-private-key` označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete upotrijebiti pretvarač kao što je OpenSSL. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

Softver KMS-a ne nameće ograničenja za upotrebu ključeva ili proširena ograničenja za upotrebu ključeva. Neka tijela za izdavanje certifikata zahtijevaju primjenu proširenih ograničenja upotrebe ključa na svaki certifikat, poput provjere autentičnosti poslužitelja. U redu je upotrebljavati provjeru autentičnosti poslužitelja ili druge postavke.

Zahtjevi virtualnog organizatora

Virtualni organizatori koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena glavna računala (preporučeno 3) smještena u isti siguran podatkovni centar
Instaliran i pokrenut je VMware ESXi 7.0 (ili noviji).

Morate nadograditi ako imate raniju verziju alata ESXi.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Preduvjeti poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.

Postoje dvije mogućnosti za poslužitelj baze podataka. Zahtjevi za svaku od njih su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL poslužitelj
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016., 2017., 2019. ili 2022. (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i Kumulativno ažuriranje 2 ili novije verzije.
Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)	Najmanje 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako ne bi došlo do prekoračenja (preporučuje se 2 TB ako želite dugo raditi bazu podataka bez potrebe za povećanjem pohrane)

Softver HDS trenutačno instalira sljedeće verzije upravljačkog programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL poslužitelj

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ta verzija upravljačkog programa podržava uvijek uključen SQL poslužitelj (uvijek uključene instance klastera u slučaju pogreške i uvijek uključene skupine dostupnosti).

Dodatni zahtjevi za Windows provjeru autentičnosti za Microsoft SQL Server

Ako želite da HDS čvorovi koriste Windows provjeru autentičnosti kako bi dobili pristup bazi podataka tipkovnica na Microsoft SQL poslužitelju, tada vam je potrebna sljedeća konfiguracija u svom okruženju:

Svi HDS čvorovi, infrastruktura Active Directory i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji pružite HDS čvorovima mora imati pristup za čitanje/pisanje bazi podataka.
DNS poslužitelji koje ustupite HDS čvorovima moraju moći razriješiti vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka možete registrirati na svom Microsoft SQL poslužitelju kao glavno ime usluge (SPN) u svom okruženju Active Directory. Pogledajte odjeljak Registrirajte glavni naziv usluge za Kerberos veze.

HDS alat za postavljanje, HDS pokretač i lokalni KMS moraju koristiti Windows provjeru autentičnosti za pristup bazi podataka tipkovnice. Oni koriste detalje iz vaše ISO konfiguracije za konstruiranje SPN-a kada zatraže pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću vezu za HDS aplikacije:

Aplikacija	Protokol	Priključak	Smjer iz aplikacije	Odredište
Čvorovi hibridne zaštite podataka	TCP	443	Izlazni HTTPS i WSS	Webex poslužitelji: .wbx2.com .ciscospark.com Svi organizatori zajedničkog identiteta Drugi URL-ovi koji su navedeni za hibridnu zaštitu podataka u tablici Dodatni URL-ovi za hibridne usluge WebexMrežni zahtjevi za usluge Webex
Alat za postavljanje HDS-a	TCP	443	Izlazni HTTPS	*.wbx2.com Svi organizatori zajedničkog identiteta hub.docker.com

Čvorovi hibridne zaštite podataka rade s prijevodom pristupa mreži (NAT) ili iza vatrozida, sve dok NAT ili vatrozid omogućuju potrebne izlazne veze s odredištima domena u prethodnoj tablici. Za veze koje ulaze u čvorove hibridne zaštite podataka nema vidljivih priključaka s interneta. Unutar vašeg podatkovnog centra klijentima treba pristup čvorovima hibridne zaštite podataka na TCP ulazima 443 i 22 za administrativne svrhe.

URL-ovi za organizatore zajedničkog identiteta (CI) specifični su za regiju. To su trenutačni CI organizatori:

Regija	URL-ovi organizatora zajedničkog identiteta
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza. Kako biste riješili taj problem, pogledajte odjeljak Konfiguriranje proxyja lignje za sigurnost hibridnih podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (ne inspekcija) prometa do wbx2.com i ciscospark.com riješit će problem.

Dovrši preduvjete za sigurnost hibridnih podataka

S pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguriranje klastera hibridne zaštite podataka.

1	Provjerite je li za vašu partnersku organizaciju omogućena značajka HDS za više klijenata i preuzmite vjerodajnice računa s punim partnerskim administratorom i pravima potpunog administratora. Provjerite je li vaša korisnička organizacija Webex omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s tim postupkom obratite se svom Cisco partneru ili upravitelju računa. Organizacije korisnika ne bi trebale imati postojeću HDS implementaciju.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži certifikat X.509, privatni ključ i sve posredne certifikate. Lanac certifikata mora ispunjavati zahtjeve iz zahtjeva certifikata X.509.
3	Pripremite identične virtualne organizatore koje ćete postaviti kao čvorove hibridne zaštite podataka u svom klasteru. Potrebna su vam najmanje dva odvojena organizatora (preporučeno 3) smještena u isti sigurni podatkovni centar koji ispunjavaju zahtjeve u odjeljku Zahtjevi virtualnog organizatora.
4	Pripremite poslužitelj baze podataka koji će djelovati kao spremište ključnih podataka za klaster, u skladu s Zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim glavnim računalima. Izradite bazu podataka za pohranu ključeva. (Morate izraditi tu bazu podataka — nemojte upotrebljavati zadanu bazu podataka. HDS aplikacije, kada su instalirane, stvaraju shemu baze podataka.) Prikupite pojedinosti koje će čvorovi upotrebljavati za komunikaciju s poslužiteljem baze podataka: ime organizatora ili IP adresu (organizator) i ulaz naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinku korisnika sa svim privilegijama u bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofa postavite sigurnosno okruženje u drugom podatkovnom centru. Sigurnosno okruženje odražava proizvodno okruženje VM-a i rezervni poslužitelj baze podataka. Na primjer, ako proizvodnja ima 3 VM-a koji pokreću HDS čvorove, sigurnosno okruženje treba imati 3 VM-a.
6	Postavite syslog glavno računalo za prikupljanje zapisnika s čvorova u klasteru. Prikupite mrežnu adresu i priključak za syslog (zadana postavka je UDP 514).
7	Izradite pravila sigurnog sigurnosnog kopiranja za čvorove hibridne zaštite podataka, poslužitelj baze podataka i glavno računalo syslog. Barem kako biste spriječili nepovratan gubitak podataka, morate sigurnosno kopirati bazu podataka i ISO datoteku konfiguracije generiranu za čvorove hibridne zaštite podataka. Budući da čvorovi hibridne zaštite podataka spremaju ključeve koji se upotrebljavaju u šifriranju i dešifriranju sadržaja, ako ne zadržite operativnu implementaciju, to će rezultirati POVRATNIM GUBITKOM tog sadržaja. Klijenti aplikacije Webex predmemoriraju svoje ključeve, tako da prekid možda neće biti odmah vidljiv, ali će s vremenom postati vidljiv. Iako se privremeni prekidi ne mogu spriječiti, oni se mogu oporaviti. Međutim, potpuni gubitak (nema dostupnih sigurnosnih kopija) baze podataka ili ISO datoteke konfiguracije rezultirat će nepovratnim podacima korisnika. Od operatora čvorova hibridne zaštite podataka očekuje se da će održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije i biti spremni na ponovnu izgradnju podatkovnog centra hibridne zaštite podataka u slučaju katastrofalnog neuspjeha.
8	Provjerite omogućava li konfiguracija vatrozida povezivanje za vaše čvorove hibridne zaštite podataka kao što je opisano u odjeljku Zahtjevi za vanjsko povezivanje.
9	Instalirajte Docker ( https://www.docker.com) na bilo koji lokalni stroj s podržanim OS-om (Microsoft Windows 10 Professional ili Enterprise 64-bitni ili Mac OSX Yosemite 10.10.3 ili noviji) s web-preglednikom koji mu može pristupiti u http://127.0.0.1:8080. Instancu Docker koristite za preuzimanje i pokretanje alata za postavljanje HDS-a koji izrađuje lokalne informacije o konfiguraciji za sve čvorove hibridne zaštite podataka. Možda će vam trebati licenca za Docker Desktop. Dodatne informacije potražite u odjeljku Zahtjevi za radnu površinu za docker . Da biste instalirali i pokrenuli HDS alat za postavljanje, lokalni stroj mora imati povezivost navedenu u odjeljku Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s hibridnom zaštitom podataka, provjerite zadovoljava li zahtjeve za proxy poslužitelj.

Postavljanje klastera hibridne zaštite podataka

Tijek zadatka implementacije hibridne zaštite podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS organizatore Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove hibridne zaštite podataka.
3	Instalirajte OVA organizatora za HDS Izradite virtualno računalo iz OVA datoteke i izvršite početnu konfiguraciju, npr. mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
4	Postavljanje VM hibridne zaštite podataka Prijavite se na VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.
5	Prijenos i postavljanje ISO HDS konfiguracije Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, navedite vrstu proxyja koji ćete upotrebljavati za čvor i po potrebi dodajte certifikat proxyja u spremište vjerodajnica.
7	Registrirajte prvi čvor u klasteru Registrirajte VM u Cisco Webex oblak kao čvor hibridne zaštite podataka.
8	Izradite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte HDS za više klijenata na Čvorištu partnera. Aktivirajte HDS i upravljajte organizacijama klijenata u okruženju Partner Hub.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzmite OVA datoteku na svoje računalo (ne na poslužitelje koje postavite kao čvorove hibridne zaštite podataka). Tu datoteku upotrebljavate kasnije u postupku instalacije.

1	Prijavite se u Čvorište partnera, a zatim kliknite na Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna zaštita podataka, a zatim kliknite na Postavljanje. Klikom na Postavljanje u okruženju Partner Hub ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršavanja ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi datoteku .OVA na kartici Instaliraj i konfiguriraj softver . Starije verzije programskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama hibridne zaštite podataka. To može rezultirati problemima tijekom nadogradnje aplikacije. Provjerite jeste li preuzeli najnoviju verziju OVA datoteke. OVA također u svakom trenutku možete preuzeti iz odjeljka Pomoć . Kliknite na Postavke > Pomoć > Preuzimanje softvera hibridne zaštite podataka. OVA datoteka automatski počinje s preuzimanjem. Spremite datoteku na lokaciju na svom uređaju.
4	Opcionalno kliknite na Prikaži vodič o implementaciji hibridne zaštite podataka kako biste provjerili postoji li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS organizatore

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora.

Ako nemate licencu za Docker radnu površinu, možete koristiti Podman radnu površinu za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u postupku u nastavku. Za više pojedinosti pogledajte Pokreni alat za postavljanje HDS-a pomoću radne površine Podman .

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovitim okruženjima s HTTPS proxy poslužiteljem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom.

Upotrijebite web-preglednik za pristup lokalnom organizatoru http://127.0.0.1:8080i na upit unesite administratorsko korisničko ime za Partner Hub.

Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.

8

Na stranici pregleda alata za postavljanje kliknite Početak rada.

9

Na stranici ISO uvoza imate sljedeće mogućnosti:

Ne– ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da – ako ste već izradili HDS čvorove, odaberite ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u Zahtjevima certifikata X.509.

Ako nikad prije niste prenijeli certifikat, prenesite certifikat X.509, unesite lozinku i kliknite na Nastavi.
Ako je vaš certifikat u redu, kliknite na Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastavi upotrebljavati HDS lanac certifikata i privatni ključ iz prethodnog ISO standarda?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite na Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili ključnom podatkovnom sustavu:

Odaberite Vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL poslužitelj, dobit ćete polje Vrsta provjere autentičnosti.
(Samo Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna provjera autentičnosti: Trebate lokalni naziv računa SQL poslužitelja u polju Korisničko ime .
- Windows provjera autentičnosti: Potreban vam je Windows račun u formatu username@DOMAIN u polju Korisničko ime .
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

IP adresu možete koristiti za osnovnu provjeru autentičnosti, ako čvorovi ne mogu koristiti DNS za rješavanje naziva glavnog računala.

Ako upotrebljavate provjeru autentičnosti u sustavu Windows, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite naziv baze podataka.
Unesite Korisničko ime i Lozinku korisnika sa svim privilegijama u bazu podataka za pohranu ključeva.

12

Odaberite način povezivanja TLS baze podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi pokušavaju uspostaviti šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Taj način rada nije primjenjiv na baze podataka SQL Server. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostave TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u Korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također potvrđuju da naziv glavnog računala u certifikatu poslužitelja odgovara nazivu glavnog računala u polju Glavno računalo i ulaz baze podataka . Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete na Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi će možda moći uspostaviti TLS vezu čak i ako ju stroj za postavljanje HDS-a ne može uspješno testirati.)

13

Na stranici zapisnika sustava konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako se poslužitelj ne može riješiti DNS-om iz čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 naznačuje prijavu na Syslogd glavno računalo 10.92.43.23 na UDP ulazu 514.
Ako svoj poslužitelj postavite za upotrebu TLS šifriranja, označite Je li vaš syslog poslužitelj konfiguriran za SSL šifriranje?.

Ako ste označili ovaj potvrdni okvir, svakako unesite TCP URL kao što je tcp://10.92.43.23:514.
Na padajućem izborniku Odabir završetka zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Odaberite ili se novi redak koristi za Graylog i Rsyslog TCP
- Null bajt -- \x00
- Novija linija -- \n– odaberite ovaj izbor za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze baze podataka možete promijeniti u izborniku Napredne postavke. Općenito, ovaj je parametar jedini koji možda želite promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite na Nastavi na zaslonu Ponovno postavi lozinku računa usluga .

Lozinke računa usluga imaju rok od devet mjeseci. Koristite ovaj zaslon kada se vaše lozinke bliže isteku ili ih želite ponovno postaviti tako da poništite valjanost prethodnih ISO datoteka.

16

Kliknite na Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu.

Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.

18

Da biste zatvorili alat za postavljanje, upišite CTRL+C.

Što učiniti sljedeće

Sigurnosno kopirajte ISO datoteku za konfiguraciju. Trebate ga kako biste izradili više čvorova za oporavak ili kako biste napravili promjene u konfiguraciji. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Dohvaćanje ključeva iz vaše baze podataka PostgreSQL ili Microsoft SQL Server nije moguće.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte OVA organizatora za HDS

Upotrijebite ovaj postupak za izradu virtualnog računala iz OVA datoteke.

1	Upotrijebite VMware vSphere klijent na svom računalu za prijavu u ESXi virtualno glavno računalo.
2	Odaberite Datoteka > Implementacija OVF predloška.
3	U čarobnjaku navedite lokaciju OVA datoteke koju ste ranije preuzeli i kliknite na Dalje.
4	Na stranici Odabir naziva i mape unesite Naziv virtualnog računala za čvor (na primjer, „HDS_Node_1“), odaberite lokaciju na kojoj se može nalaziti implementacija virtualnog računala, a zatim kliknite na Dalje.
5	Na stranici Odabir računalnog resursa odaberite odredišni računalni resurs, a zatim kliknite na Dalje. Provjera valjanosti je u tijeku. Nakon što završi, pojavit će se pojedinosti predloška.
6	Provjerite pojedinosti predloška i kliknite na Dalje.
7	Ako se od vas traži da odaberete konfiguraciju resursa na stranici Konfiguracija , kliknite 4 CPU-a , a zatim kliknite Dalje.
8	Na stranici Odabir pohrane kliknite Dalje kako biste prihvatili zadani format diska i pravila pohrane za VM.
9	Na stranici Odabir mreža odaberite opciju mreže s popisa unosa da biste omogućili željenu vezu s VM-om.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv glavnog računala– unesite FQDN (naziv glavnog računala i domenu) ili naziv glavnog računala za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblak, upotrijebite samo male znakove iz FQDN-a ili naziva glavnog računala koje ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije prelaziti 64 znaka. IP adresa– unesite IP adresu za unutarnje sučelje čvora. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan. Maska– unesite adresu maske podmreže u točkasto-decimalnoj oznaci. Na primjer, 255.255.255.0. Pristupnik– unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji– unesite popis DNS poslužitelja odvojen zarezom, koji upravljaju prijevodom naziva domena na numeričke IP adrese. (Dopušteno je do 4 DNS unosa.) NTP poslužitelji– unesite NTP poslužitelj svoje organizacije ili drugi vanjski NTP poslužitelj koji se može upotrebljavati u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezom za unos više NTP poslužitelja. Implementirajte sve čvorove na istoj podmreži ili VLAN-u tako da su svi čvorovi u klasteru dostupni od klijenata u vašoj mreži u administrativne svrhe. Ako to želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje VM-a hibridne zaštite podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA-e testirana je uz ESXi 7.0. Opcija možda neće biti dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite VM čvora, a zatim odaberite Napajanje > Uključeno napajanje. Softver hibridne zaštite podataka instaliran je kao gost na VM organizatoru. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se pojave spremnici čvora. Poruka vatrozida mosta pojavljuje se na konzoli tijekom prvog pokretanja tijekom kojeg se ne možete prijaviti.

Postavljanje VM hibridne zaštite podataka

Pomoću ovog postupka se prvi put prijavite u VM konzolu čvora hibridne zaštite podataka i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali u vrijeme implementacije OVA-e.

1	U klijentu VMware vSphere odaberite svoj VM čvor hibridne zaštite podataka i odaberite karticu Konzola . VM se podiže i pojavljuje se upit za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Upotrijebite sljedeću zadanu prijavu i lozinku da biste se prijavili i promijenili vjerodajnice: Prijava: `admin` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj VM, morate promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instaliraj OVA glavnog računala HDS, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju .
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i naziv DNS-a. DHCP nije podržan.
5	(Neobavezno) Promijenite naziv glavnog računala, domenu ili NTP poslužitelj (ili više njih), ako je potrebno radi usklađivanja s vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite VM kako bi promjene stupile na snagu.

Prijenos i postavljanje ISO HDS konfiguracije

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, ona bi trebala biti izložena samo na temelju "potrebe za znanjem", za pristup od strane VM-ova za hibridnu zaštitu podataka i svih administratora koji će možda trebati napraviti promjene. Provjerite mogu li samo ti administratori pristupiti datasturi.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite na ESXi poslužitelj.
Na popisu Hardver kartice Konfiguracija kliknite na Pohrana.
Na popisu Trgovine podacima desnom tipkom miša kliknite na bazu podataka za svoje VM-ove, a zatim Pretraži bazu podataka.
Kliknite ikonu Prenesi datoteke, a zatim Prenesi datoteku.
Prijeđite na lokaciju gdje ste preuzeli ISO datoteku na računalo i kliknite na Otvori.
Kliknite Da da biste prihvatili upozorenje o radu za prijenos/preuzimanje i zatvorili dijaloški okvir podatkovnog centra.

2

Postavite ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite na U redu da biste prihvatili upozorenje o ograničenim opcijama za uređivanje.
Kliknite CD/DVD Drive 1, odaberite opciju za montiranje s ISO datoteke podatkovnog centra i prijeđite na lokaciju na koju ste prenijeli ISO datoteku za konfiguraciju.
Označite Povezano i Poveži se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualno računalo.

Što učiniti sljedeće

Ako vaša IT pravila zahtijevaju, možete po želji poništiti ISO datoteku nakon što svi vaši čvorovi pokupe promjene konfiguracije. Pogledajte (Neobavezno) Za više pojedinosti uklonite ISO nakon HDS konfiguracije .

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web-preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Nema proxyja – zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Prozirni proxy koji ne pregledava – čvorovi nisu konfigurirani za upotrebu određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne pregledava. Ažuriranje certifikata nije potrebno. Prozirna inspekcija proxyja – čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy– pomoću eksplicitnog proxy poslužitelja klijentu (HDS čvorovi) kažete koji proxy poslužitelj treba upotrebljavati, a ta opcija podržava nekoliko vrsta provjere autentičnosti. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN – adresa koja se može upotrebljavati za pristup proxy uređaju. Ulaz proxy– broj ulaza koji proxy koristi za slušanje prometa u blizini. Proxy protokol– odaberite http (prikazuje i kontrolira sve zahtjeve koji su primljeni od klijenta) ili https (pruža kanal poslužitelju i klijent prima i potvrđuje certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti– odaberite između sljedećih vrsta provjere autentičnosti: Ništa – nije potrebna dodatna provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno– upotrebljava se za HTTP korisnički agent za navođenje korisničkog imena i lozinke prilikom podnošenja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak– koristi se za potvrdu računa prije slanja osjetljivih podataka. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu Blokirano vanjsko DNS razlučivost. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključite način rada blokiranog vanjskog DNS razlučivosti.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak preuzima generički čvor koji ste stvorili u Postavljanje VM-a hibridne zaštite podataka, registrira čvor u Webex oblaku i pretvara ga u čvor hibridne zaštite podataka.

Kada registrirate svoj prvi čvor, stvorite klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova implementiranih kako bi se osigurali redundantnost.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Postavi.
4	Na stranici koja se otvara kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti čvor hibridne zaštite podataka. Preporučujemo da imenujete klaster temeljem lokacije geografskog položaja čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugom polju unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) čvora i kliknite na Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu glavnog računala i domeni koje ste upotrijebili u odjeljku Postavljanje VM-a hibridne zaštite podataka. Pojavit će se poruka koja označava da možete registrirati svoj čvor u Webex.
7	Kliknite na Idi na čvor. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Na stranici Hibridna zaštita podataka u kartici Resursi prikazuje se novi klaster koji sadrži čvor koji ste registrirali. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Izradite i registrirajte više čvorova

Da biste dodali dodatne čvorove u klaster, jednostavno izradite dodatne VM-ove i postavite istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate najmanje 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate ga dovršiti u roku od 60 minuta ili morate započeti ispočetka.
Provjerite jesu li svi blokatori skočnih prozora u vašem pregledniku onemogućeni ili dopuštaju iznimku za admin.webex.com.

1	Izradite novi virtualni stroj iz OVA-e ponavljajući korake u Instaliraj OVA organizatora HDS-a.
2	Postavite početnu konfiguraciju na novom VM-u i ponovite korake u Postavite VM hibridne zaštite podataka.
3	Na novom VM-u ponovite korake u Prijenos i postavljanje HDS konfiguracije ISO-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u odjeljku Konfiguriranje HDS čvora za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comizborniku na lijevoj strani zaslona odaberite Usluge . U odjeljku Usluge u oblaku pronađite karticu Hibridnu zaštitu podataka i kliknite na Prikaži sve. Pojavit će se stranica Resursi hibridne zaštite podataka. Novoizrađeni klaster prikazat će se na stranici Resursi . Kliknite na klaster za prikaz čvorova dodijeljenih klasteru. Kliknite na Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) svog čvora i kliknite na Dodaj. Otvara se stranica s porukom koja označava da možete registrirati svoj čvor u Webex oblak. Nakon nekoliko trenutaka preusmjerit ćemo vas na testove povezivanja čvora za usluge Webex. Ako su svi testovi uspješni, pojavit će se stranica Dopusti pristup čvoru hibridne zaštite podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite okvir Dopusti pristup čvoru hibridne zaštite podataka , a zatim kliknite na Nastavi. Vaš je račun provjeren, a poruka „Registracija dovršena” naznačuje da je vaš čvor sada registriran u Webex oblaku. Kliknite vezu ili zatvorite karticu kako biste se vratili na stranicu Hibridna zaštita podataka Partner Hub. Skočna poruka dodana čvor pojavljuje se i na dnu zaslona u okruženju Partner Hub. Vaš je čvor registriran.

Upravljanje organizacijama klijenata u hibridnoj zaštiti podataka s više klijenata

Aktivirajte HDS za više klijenata na Čvorištu partnera

Ovaj zadatak osigurava da svi korisnici korisničkih organizacija mogu početi upotrebljavati HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje HDS klastera za više klijenata s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke.
4	Kliknite na Aktiviraj HDS na kartici Status HDS .

Dodavanje organizacija klijenta u Čvorište partnera

U ovom zadatku dodijelite organizacije korisnika svom klasteru hibridne zaštite podataka.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Kliknite na klaster kojem želite da se dodijeli korisnik.
5	Otvorite karticu Dodijeljeni korisnici .
6	Kliknite na Dodaj korisnike.
7	Na padajućem izborniku odaberite korisnika kojeg želite dodati.
8	Kliknite na Dodaj, korisnik će se dodati u klaster.
9	Ponovite korake od 6 do 8 kako biste dodali više korisnika u svoj klaster.
10	Kliknite na Gotovo pri dnu zaslona nakon što dodate korisnike.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je opisano u odjeljku Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a kako biste dovršili postupak postavljanja.

Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kao što je navedeno u odjeljku Dodavanje organizacija klijenta u okruženju Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte vezu sa svojom bazom podataka kako biste izvršili CMK upravljanje.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Izradi CMK za sve organizacije ili Izradi CMK – kliknite taj gumb na natpisu na vrhu zaslona da biste izradili CMK-ove za sve novododane organizacije. Kliknite na gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite na Izradi CMK-ove da biste izradili CMK-ove za sve novododane organizacije. Kliknite na više od statusa određene organizacije na čekanju za upravljanje CMK-om, a zatim kliknite na Izradi CMK da biste izradili CMK za tu organizaciju.
12	Nakon uspješne izrade CMK-a, status tablice promijenit će se iz CMK upravljanja na čekanju u CMK upravljano.
13	Ako izrada CMK-a nije uspjela, prikazat će se pogreška.

Ukloni organizacije klijenta

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći iskoristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja korisničkih organizacija, obratite se svom Cisco partneru ili upravitelju računa.

1	Prijavite se na https://admin.webex.com.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Prikaži sve.
4	Na kartici Resursi kliknite klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni korisnici.
6	Na popisu korisničkih organizacija koje se prikazuju kliknite ... na desnoj strani korisničke organizacije koju želite ukloniti i kliknite na Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivanjem CMK-ova korisničkih organizacija kao što je navedeno u odjeljku Opoziv CMK-ova klijenata uklonjenih iz HDS-a.

Povucite CMK-ove klijenata uklonjene iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera u skladu s uputama iz odjeljka Uklanjanje organizacija klijenta. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja za korisničke organizacije koje su uklonjene.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora za vašu organizaciju.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovitim okruženjima s HTTPS proxy poslužiteljem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Upotrijebite web-preglednik za pristup lokalnom organizatoru `http://127.0.0.1:8080`i na upit unesite administratorsko korisničko ime za Partner Hub. Alat upotrebljava ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite vjerodajnice za prijavu administratora za Partner Hub, a zatim kliknite na Prijava kako biste dopustili pristup potrebnim uslugama za hibridnu zaštitu podataka.
8	Na stranici pregleda alata za postavljanje kliknite Početak rada.
9	Na stranici ISO uvoz kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Otvorite karticu Upravljanje CMK-om klijenta , gdje ćete pronaći sljedeća tri načina za upravljanje CMK-ovima klijenta. Uskraćivanje CMK-a za sve organizacije ili Uskraćivanje CMK-a – kliknite ovaj gumb na natpisu na vrhu zaslona da biste uskratili CMK-ove svih uklonjenih organizacija. Kliknite na gumb Upravljaj CMK-ovima na desnoj strani zaslona i kliknite na Opoziv CMK-ova da biste opozvali CMK-ove svih uklonjenih organizacija. Kliknite … u blizini CMK za opoziv status određene organizacije u tablici i kliknite Uskrati CMK za opoziv CMK-a za tu određenu organizaciju.
12	Nakon uspješnog opoziva CMK-a, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspio, prikazat će se pogreška.

Testiranje implementacije hibridne zaštite podataka

Upotrijebite ovaj postupak za testiranje scenarija šifriranja hibridne zaštite podataka s više klijenata.

Prije početka

Postavite implementaciju hibridne zaštite podataka za više klijenata.
Provjerite imate li pristup syslog kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji hibridne zaštite podataka za više klijenata.

1

Tipke za dani prostor postavlja tvorac prostora. Prijavite se u aplikaciju Webex kao jedan od korisnika organizacije korisnika i zatim izradite prostor.

Ako deaktivirate implementaciju hibridne zaštite podataka, sadržaj u prostorima koje korisnici izrađuju više neće biti dostupan nakon zamjene kopija ključeva za šifriranje u predmemoriji klijenta.

2

Šaljite poruke u novi prostor.

3

Provjerite izlaz syslog kako biste potvrdili da se ključni zahtjevi prenose vašoj implementaciji hibridne zaštite podataka.

Da biste provjerili da korisnik prvo uspostavlja siguran kanal na KMS, filtrirajte na kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos kao što je sljedeći (identifikatori skraćeni za čitljivost):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Da biste provjerili korisnika koji traži postojeći ključ iz KMS-a, filtrirajte na kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Da biste provjerili korisnika koji zahtijeva stvaranje novog KMS ključa, filtrirajte na kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Da biste provjerili korisnika koji traži stvaranje novog objekta resursa KMS-a (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte na kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos kao što je:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Praćenje stanja hibridne zaštite podataka

Pokazatelj statusa u okruženju Partner Hub pokazuje je li sve u redu s implementacijom hibridne zaštite podataka za više klijenata. Za proaktivno upozorenje registrirajte se za obavijesti e-poštom. Dobit ćete obavijest kada postoje alarmi koji utječu na uslugu ili nadogradnje softvera.

1	U okruženju Partner Hubodaberite Usluge na izborniku s lijeve strane zaslona.
2	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Uredi postavke. Pojavit će se stranica Postavke hibridne zaštite podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte razdvojenih zarezima i pritisnite Enter.

Upravljajte svojom HDS implementacijom

Upravljanje HDS implementacijom

Upotrijebite zadatke opisane ovdje kako biste upravljali implementacijom hibridne zaštite podataka.

Postavljanje rasporeda nadogradnje klastera

Nadogradnje softvera za hibridnu zaštitu podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek pokreću istu verziju softvera. Nadogradnje se izvršavaju u skladu s rasporedom nadogradnje za klaster. Kad nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije zakazanog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili upotrijebiti zadani raspored 3:00 ujutro, dnevno, Sjedinjene Američke Države: Amerika/Los Angeles. Ako je potrebno, možete odabrati i odgodu nadolazeće nadogradnje.

Da biste postavili raspored nadogradnje:

1	Prijavite se u Partner Hub.
2	Na izborniku na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridnu zaštitu podataka i kliknite na Postavi
4	Na stranici Resursi hibridne zaštite podataka odaberite klaster.
5	Kliknite karticu Postavke klastera .
6	Na stranici postavki klastera, u izborniku Raspored nadogradnje odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuju se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete odgoditi na sljedeći dan, ako je potrebno, klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meko ponovno postavljanje– stare i nove lozinke rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Teško ponovno postavljanje– stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Postupak postavljanja zahtijeva vjerodajnice računa Partner Hub s pravima potpunog administratora partnera.

Ako nemate licencu za Docker radnu površinu, možete koristiti Podman radnu površinu za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u postupku u nastavku. Za više pojedinosti pogledajte Pokreni alat za postavljanje HDS-a pomoću radne površine Podman .

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz varijable okruženja usluge Docker prilikom podizanja spremnika usluge Docker u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s lokalnim organizatorom putem http://localhost:8080. Upotrijebite http://127.0.0.1:8080 za povezivanje s lokalnim organizatorom. Kada se to od vas zatraži, unesite vjerodajnice za prijavu korisnika u Partner Hub i zatim kliknite na Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Da biste zatvorili alat za postavljanje, upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi VM čvor hibridne zaštite podataka i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte odjeljak Izrada i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u okruženju Partner Hub.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju za montiranje iz ISO datoteke i prijeđite na lokaciju gdje ste preuzeli novu ISO datoteku za konfiguraciju. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Ovaj postupak upotrijebite za uklanjanje čvora hibridne zaštite podataka iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualno računalo kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Upotrijebite VMware vSphere klijent na svom računalu da biste se prijavili u ESXi virtualno glavno računalo i isključili virtualno računalo.

2

Ukloni čvor:

Prijavite se u Čvorište partnera, a zatim odaberite Usluge.
Na kartici hibridne zaštite podataka kliknite na Prikaži sve kako biste prikazali stranicu Resursi hibridne zaštite podataka.
Odaberite klaster za prikaz ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Poništi registraciju ovog čvora na ploči koja se pojavljuje s desne strane
Također možete poništiti registraciju čvora klikom na… na desnoj strani čvora i odabirom opcije Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite na VM, a zatim Izbriši.)

Ako ne izbrišete VM, ne zaboravite poništiti konfiguracijsku ISO datoteku. Bez ISO datoteke ne možete koristiti VM za pristup sigurnosnim podacima.

Oporavak od katastrofa pomoću podatkovnog centra u pripravnosti

Najkritičnija usluga koju pruža vaš klaster hibridne zaštite podataka je stvaranje i pohrana ključeva koji se upotrebljavaju za šifriranje poruka i drugog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika u organizaciji koji je dodijeljen hibridnoj zaštiti podataka, novi zahtjevi za stvaranje ključa preusmjeravaju se na klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvoren svim korisnicima koji su ovlašteni za njihovo dohvaćanje, primjerice, članovima prostora za razgovor.

Budući da klaster obavlja kritičnu funkciju pružanja tih ključeva, nužno je da klaster ostane pokrenut i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka hibridne zaštite podataka ili konfiguracijskog ISO-a korištenog za shemu rezultirat će NEPOVRATNIM GUBITKOM sadržaja korisnika. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje da implementacija HDS-a u primarnom podatkovnom centru postane nedostupna, slijedite ovaj postupak za ručno prebacivanje u pričuvni podatkovni centar.

Prije početka

Poništite registraciju svih čvorova iz okruženja Partner Hub kao što je navedeno u odjeljku Uklanjanje čvora. Upotrijebite najnoviju ISO datoteku koja je konfigurirana s čvorovima klastera koji je prethodno bio aktivan kako biste izvršili postupak prebacivanja naveden u nastavku.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u odjeljku Stvaranje ISO konfiguracije za HDS organizatore.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke u svom lokalnom sustavu. Zaštitite sigurnosnu kopiju. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograniči pristup samo na administratore hibridne zaštite podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite na Uredi postavke >CD/DVD pogon 1 i odaberite ISO datoteku podatkovne baze. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i uvjerite se kako nema alarma najmanje 15 minuta.
7	Registrirajte čvor u okruženju Partner Hub. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u podatkovnom centru pripravnosti.

Što učiniti sljedeće

Nakon prebacivanja u slučaju pogreške, ako primarni podatkovni centar ponovno postane aktivan, poništite registraciju čvorova podatkovnog centra u pripravnosti i ponovite postupak konfiguriranja ISO-a i registriranja čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Ukloni ISO nakon HDS konfiguracije

Standardna HDS konfiguracija izvodi se s montiranim ISO-om. Ali, neki korisnici ne vole ostaviti ISO datoteke stalno montirane. ISO datoteku možete poništiti nakon što svi HDS čvorovi preuzmu novu konfiguraciju.

I dalje koristite ISO datoteke za mijenjanje konfiguracije. Kada izradite novi ISO ili ažurirate ISO putem alata za postavljanje, morate postaviti ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi pokupe promjene konfiguracije, ovim postupkom možete ponovo poništiti postavljanje ISO-a.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od HDS čvorova.
2	U vCenter Server uređaju odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteke podatkovnog centra.
4	Uključite HDS čvor i pobrinite se da nema alarma najmanje 20 minuta.
5	Ponovi za svaki HDS čvor zauzvrat.

Rješavanje problema sigurnosti hibridnih podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne zaštite podataka smatra se nedostupna ako su svi čvorovi u klasteru nedostupni ili klaster radi tako sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru hibridne zaštite podataka, imaju sljedeće simptome:

Nije moguće izraditi nove prostore (nije moguće izraditi nove ključeve)
Dešifriranje poruka i naziva prostora nije uspjelo za:
- Novi korisnici dodani su u prostor (ključevi se ne mogu dohvatiti)
- Postojeći korisnici u prostoru koji upotrebljavaju novi klijent (ključeve se ne mogu dohvatiti)
Postojeći korisnici u prostoru nastavit će se uspješno pokretati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje

Važno je da pravilno pratite svoj klaster hibridne zaštite podataka i odmah riješite sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavljanjem hibridne zaštite podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje poruke e-pošte na konfiguriranu adresu e-pošte. Upozorenja obuhvaćaju mnoge zajedničke scenarije.

Tablica 1. Zajednički problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite postoje li pogreške baze podataka ili problemi s lokalnom mrežom.
Pogreška pri povezivanju lokalne baze podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora upotrijebljene odgovarajuće vjerodajnice računa usluge.
Pogreška pristupa usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u odjeljku Zahtjevi vanjske povezivosti.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je otkazana. Produljenje registracije je u tijeku.
Prekinuta je registracija usluge u oblaku.	Registracija za usluge u oblaku prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u okruženju Partner Hub.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li vaš certifikat poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji je uzrok da je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početnog postavljanja.
Provjera autentičnosti za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica računa usluge.
Otvaranje datoteke lokalne tipkovnice nije uspjelo.	Provjerite integritet i točnost lozinke u datoteci lokalne tipkovnice.
Certifikat lokalnog poslužitelja nije valjan.	Provjerite datum isteka certifikata poslužitelja i potvrdite kako ga je izdala pouzdana ustanova za izdavanje certifikata.
Ne može se objaviti metrika.	Provjerite pristup vanjskoj mreži za lokalne usluge u oblaku.
Direktorij /media/configdrive/hds ne postoji.	Provjerite konfiguraciju ISO postavljanja na virtualnom glavnom računalu. Provjerite postoji li ISO datoteka, je li konfigurirana za instalaciju nakon ponovnog pokretanja i uspješno se montira.
Postavljanje organizacije klijenta nije dovršeno za dodane organizacije	Dovršite postavljanje izradom CMK-a za novododane organizacije klijenata pomoću alata za postavljanje HDS-a.
Postavljanje organizacije klijenta nije dovršeno za uklonjene organizacije	Dovršite postavljanje povlačenjem CMK-a organizacija klijenta koje su uklonjene pomoću alata za postavljanje HDS-a.

Rješavanje problema sigurnosti hibridnih podataka

Upotrijebite sljedeće opće smjernice pri rješavanju problema s hibridnom sigurnošću podataka.

1	Pregledajte okruženje Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Pogledajte sliku u nastavku za referencu.
2	Pregledajte izlaz syslog poslužitelja za aktivnost iz implementacije hibridne zaštite podataka. Filtrirajte riječi kao što su "Upozorenje" i "Pogreška" kako biste pomogli u rješavanju problema.
3	Obratite se Ciscovoj podršci.

Ostale napomene

Poznati problemi za sigurnost hibridnih podataka

Ako zatvorite klaster hibridne zaštite podataka (brisanjem ga u okruženju Partner Hub ili isključivanjem svih čvorova), izgubite ISO datoteku za konfiguraciju ili izgubite pristup bazi podataka tipkovnice, korisnici aplikacije Webex u korisničkim organizacijama više neće moći upotrebljavati prostore pod svojim popisom Osobe koji su stvoreni s ključevima iz vašeg KMS-a. Trenutačno nemamo zaobilazno rješenje ili rješenje za taj problem i potičemo vas da ne zatvorite svoje HDS usluge nakon što rukuju aktivnim korisničkim računima.
Klijent koji ima postojeću ECDH vezu na KMS održava tu vezu neko vremensko razdoblje (vjerojatno jedan sat).

Pokreni alat za postavljanje HDS-a pomoću radne površine Podman

Podman je besplatan i open-source alat za upravljanje kontejnerima koji pruža način vođenja, upravljanja i stvaranja kontejnera. Radnu površinu Podman možete preuzeti iz https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom uređaju. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a izvodi iza proxyja u vašem okruženju, pružite postavke proxyja (poslužitelj, ulaz, vjerodajnice) kroz Docker varijable okruženja prilikom podizanja Docker spremnika u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO datoteka za konfiguraciju koju generirate sadrži glavni ključ koji šifrira bazu podataka PostgreSQL ili Microsoft SQL Server. Trebate najnoviju kopiju ove datoteke u svakom trenutku kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene pravila autorizacije
Ako planirate šifrirati veze baze podataka, postavite implementaciju PostgreSQL ili SQL Server za TLS.

Postupak postavljanja hibridne zaštite podataka stvara ISO datoteku. Zatim koristite ISO za konfiguriranje organizatora hibridne zaštite podataka.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u odjeljku Stvaranje ISO konfiguracije za HDS organizatore ili Promjena konfiguracije čvora da biste izradili ili promijenili ISO konfiguraciju.

Upotrijebite OpenSSL za generiranje PKCS12 datoteke

Prije početka

OpenSSL je alat koji se može koristiti za izradu PKCS12 datoteke u odgovarajućem formatu za učitavanje u alatu za postavljanje HDS-a. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način preko drugog.
Ako odaberete upotrebu OpenSSL-a, ovaj postupak pružamo kao smjernica za pomoć u stvaranju datoteke koja ispunjava zahtjeve certifikata X.509 u zahtjevima certifikata X.509. Prije nastavka upoznajte se s tim zahtjevima.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavača certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA-a, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite pojedinosti. `openssl x509 -text -noout -in hdsnode.pem`
3	Koristite uređivač teksta da biste stvorili datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve srednje CA certifikate i korijenske CA certifikate, u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite pojedinosti certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Nakon upita unesite lozinku za šifriranje privatnog ključa tako da je naveden u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat linije `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Vratite se na Ispunjavanje preduvjeta za hibridnu zaštitu podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradi ISO konfiguraciju za HDS organizatore.

Te datoteke možete ponovno upotrijebiti kako biste zatražili novi certifikat kada originalni certifikat istekne.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlazne metrike

Čvorovi hibridne zaštite podataka šalju određenu metriku u Webex oblak. To uključuje metriku sustava za maks. snopa, korištenu snopu, opterećenje procesora i broj niti; metriku sinkroniziranih i asinkronih niti; metriku upozorenja koja uključuju prag veza za šifriranje, kašnjenje ili duljinu reda čekanja zahtjeva; metriku na datastori i metriku veza za šifriranje. Čvorovi šalju šifrirani materijal ključa preko kanala koji nije na pojasu (odvojen od zahtjeva).

Dolazni promet

Čvorovi hibridne zaštite podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje preusmjerava usluga za šifriranje
Nadogradnje softvera čvora

Konfiguriranje proxyja lignji za sigurnost hibridnih podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Proxy poslužitelji lignji koji pregledavaju HTTPS promet mogu ometati uspostavljanje Websocket (wss:) veza koje zahtijeva hibridna zaštita podataka. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Lignje kako biste zanemarili wss: promet za ispravan rad usluga.

Lignje 4 i 5

Dodajte on_unsupported_protocol direktivu u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu zaštitu podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite … s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Trenutno, svako višestanačko HDS raspoređivanje može imati samo jedan klaster, s više čvorova ispod njega.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potreban je administrator partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom hibridne sigurnosti podataka za više zakupaca.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odjaviti, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

Upravljački program SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	Uobičajeni URL-ovi hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite ima li vaša partnerska organizacija omogućenu značajku Multi-Tenant HDS i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Ne nastavljajte s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.
4	Po želji kliknite Pogledajte vodič za implementaciju hibridne sigurnosti podataka kako biste provjerili je li dostupna novija verzija ovog vodiča.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je upisati naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš syslog poslužitelj konfiguriran za SSL enkripciju?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na svom računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite čvor VM-a, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi mogli trebati napraviti promjene. Pobrinite se da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve koji se primaju od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Usluge u oblaku pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočni prozor također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS -a .

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije korisnika svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Kliknite na klaster kojem želite dodijeliti kupca.
5	Idite na karticu Dodijeljeni korisnici.
6	Kliknite Dodaj korisnike.
7	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
8	Kliknite Dodaj, korisnik će biti dodan u klaster.
9	Ponovite korake od 6 do 8 da biste dodali više korisnika u svoj klaster.
10	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite korisnike odgovarajućem klasteru kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite … blizu statusa upravljanja CMK-om na čekanju za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na kartici Resursi kliknite na klaster iz kojeg želite ukloniti organizacije korisnika.
5	Na stranici koja se otvori kliknite Dodijeljeni kupci.
6	S popisa prikazanih organizacija korisnika kliknite ... s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike iz odgovarajućeg klastera kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite … blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Usluge u oblaku pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Usluge u oblaku pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Ukloni ovaj čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Odregistrirajte sve čvorove iz Partner Huba kako je navedeno u Uklanjanje čvora. Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
3	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
4	U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
5	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
6	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
7	Registrirajte čvor u Partner Hubu. Pogledajte Registrirajte prvi čvor u klasteru.
8	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru.

Što učiniti sljedeće

Nakon prebacivanja u drugi sustav, ako primarni podatkovni centar ponovno postane aktivan, odregistrirajte čvorove rezervnog podatkovnog centra i ponovite postupak konfiguriranja ISO-a i registracije čvorova primarnog podatkovnog centra kao što je gore navedeno.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prime promjene konfiguracije, možete ponovno odmontirati ISO datoteku ovim postupkom.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2021.01.22.4720 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Pregledajte Partner Hub za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
2	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
3	Kontaktirajte Cisco podršku.

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite svoj klaster Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odjavite čvorove i izbrišite klaster u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite ... s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijava u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Usluge u oblaku pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Dodaj čvor unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	U odjeljku Resursikliknite na novostvoreni klaster.
10	Na stranici koja se otvori kliknite karticu Dodijeljeni korisnici.
11	Kliknite Dodaj korisnike.
12	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
13	Kliknite Dodaj, korisnik će biti dodan u klaster.
14	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
15	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike o sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike o spremištu podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet radi ispravnog rada usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
21. studenog 2025.	Dodan je odjeljak Često postavljana pitanja. Dodani su odjeljci Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe i Oporavak od katastrofe pomoću rezervnog podatkovnog centra. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani su Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte hibridnu sigurnost podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

O. Glavni ključevi korisnika (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO datoteci.

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

O. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK-om (glavnim ključem korisnika).

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, bit će odmah pogođene. Postojeći sadržaj u prostorima bit će dostupan dok ne istekne lokalna predmemorija. Nakon 24 sata, korisnici kojima upravlja partner prijeći će na Cloud KMS, a mogu se pojaviti problemi s prethodno kreiranim prostorima i prostorima jedan na jedan.

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

O. Osvježavanje predmemorije u oblaku može trajati maksimalno 24 sata.

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje korisničke organizacije koje ispunjavaju Cisco Webex licencne zahtjeve.

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj je dostupan samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

A. Da. Trenutačno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnera, slične CMK-ovima kupaca.

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

A. Da. Partnerske i zakupne organizacije mogu se nalaziti u različitim geografskim regijama.

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

O. Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partnerski centar. Idi na Usluge > Hibridna sigurnost podataka > Postavke . Ako je status HDS-a aktiviran, korisnici partnerske organizacije, kao i dodijeljeni klijenti, koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste potvrdili da je HDS aktiviran. Pogledajte Testiranje implementacije sigurnosti hibridnih podataka.

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

A. Da. Podman Desktop je alternativa otvorenog koda za Docker Desktop. Pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

O. Preporučujemo minimalno dva čvora, a maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

O. Vidi Zahtjevi za vanjsku povezivost.

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

O. Ne. Pro paket nije uvjet za partnerske organizacije. Za pomoć pri postavljanju Multi-Tenant HDS-a obratite se svom Cisco partneru ili voditelju računa.

P. Je li HSM podržan u Multi-Tenant HDS-u?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u X.509 zahtjevima za certifikat.

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

O. Ne. ISO je potrebno montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika u Partner Hub, provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a.

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon što se HDS aktivira u Partner Hubu.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potreban je administrator partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom hibridne sigurnosti podataka za više zakupaca.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja visoke razine

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odjaviti, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavite rezervni podatkovni centar za oporavak od katastrofe

Slijedite korake u nastavku za konfiguriranje ISO datoteke rezervnog podatkovnog centra:

Prije početka

Rezervni podatkovni centar trebao bi odražavati produkcijsko okruženje virtualnih strojeva i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala. (Pregled ovog modela prebacivanja u slučaju kvara potražite u Rezervni podatkovni centar za oporavak od katastrofe.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće obrađivati promet. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite syslogove kako biste potvrdili da su čvorovi u pasivnom načinu rada. U syslogovima biste trebali moći vidjeti poruku „KMS konfiguriran u pasivnom načinu rada“.

Što učiniti sljedeće

Nakon što konfigurirate passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog passiveMode može pomoći u brzom procesu prebacivanja na drugi sustav tijekom oporavka od katastrofe. Detaljan postupak prebacivanja u slučaju kvara pogledajte u Oporavak od katastrofe korištenjem podatkovnog centra u stanju pripravnosti.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

Upravljački program SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	Uobičajeni URL-ovi hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite ima li vaša partnerska organizacija omogućenu značajku Multi-Tenant HDS i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je navesti naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš syslog poslužitelj konfiguriran za SSL enkripciju?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na svom računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu ] kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite čvor VM-a, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi možda trebali napraviti promjene. Pobrinite se da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve primljene od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Stvori novi klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočni prozor također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Za stvaranje dodatnih klastera prijavite se u Partner Hub i kliknite Usluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku kako biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS-a.

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije korisnika svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu Dodijeljeni korisnici. Kartica Dodijeljeni korisnici neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj korisnike.
6	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
7	Kliknite Dodaj, korisnik će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više korisnika u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce. Dodani korisnici bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite kupce kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite pored statusa čekanja upravljanja CMK-om za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodijeljeni kupci.
5	S popisa prikazanih organizacija korisnika kliknite s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Odjavi čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju `passiveMode` kako biste čvor učinili aktivnim. Čvor može obraditi promet nakon što je ovo konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite izlaz syslog-a kako biste potvrdili da čvorovi podatkovnog centra u stanju pripravnosti nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada“ ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon prebacivanja na drugi način rada, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite rezervni podatkovni centar u pasivni način rada slijedeći korake opisane u Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prihvate promjene konfiguracije, možete ponovno odmontirati ISO pomoću ovog postupka.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
5	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
6	Kontaktirajte Cisco podršku.

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odregistrirajte čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijavite se u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Stvori klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	Kliknite na karticu Dodijeljeni korisnici.
10	Kliknite Dodaj korisnike.
11	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
12	Kliknite Dodaj, korisnik će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike o sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike o spremištu podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet radi ispravnog rada usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
5. prosinca 2025.	Ažurirano Izradite ISO konfiguraciju za HDS hostove s ispravnim tekstom korisničkog sučelja na stranici Sistemski zapisnici i dodana je uputa za prijenos korijenskog certifikata sysloga prilikom konfiguriranja TLS enkripcije.
21. studenog 2025.	Dodan je odjeljak Često postavljana pitanja. Dodani su odjeljci Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe i Oporavak od katastrofe pomoću rezervnog podatkovnog centra. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

O. Glavni ključevi korisnika (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO datoteci.

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

O. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK-om (glavnim ključem korisnika).

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, bit će odmah pogođene. Postojeći sadržaj u prostorima bit će dostupan dok ne istekne lokalna predmemorija. Nakon 24 sata, korisnici kojima upravlja partner prijeći će na Cloud KMS, a mogu se pojaviti problemi s prethodno kreiranim prostorima i prostorima jedan na jedan.

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

O. Osvježavanje predmemorije u oblaku može trajati maksimalno 24 sata.

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje korisničke organizacije koje ispunjavaju Cisco Webex licencne zahtjeve.

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj je dostupan samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

A. Da. Trenutačno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnera, slične CMK-ovima kupaca.

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

A. Da. Partnerske i zakupne organizacije mogu se nalaziti u različitim geografskim regijama.

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

O. Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partnerski centar. Idi na Usluge > Hibridna sigurnost podataka > Postavke . Ako je status HDS-a aktiviran, korisnici partnerske organizacije, kao i dodijeljeni klijenti, koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste potvrdili da je HDS aktiviran. Pogledajte Testiranje implementacije hibridne sigurnosti podataka.

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

A. Da. Podman Desktop je alternativa otvorenog koda za Docker Desktop. Pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

O. Preporučujemo minimalno dva čvora, a maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

O. Vidi Zahtjevi za vanjsku povezivost.

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

O. Ne. Pro paket nije uvjet za partnerske organizacije. Za pomoć pri postavljanju Multi-Tenant HDS-a obratite se svom Cisco partneru ili voditelju računa.

P. Je li HSM podržan u Multi-Tenant HDS-u?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u X.509 zahtjevima za certifikat.

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

O. Ne. ISO je potrebno montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika u Partner Hub, provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a.

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon što se HDS aktivira u Partner Hubu.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potrebna su administratorska prava partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom hibridne sigurnosti podataka za više zakupaca.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja na visokoj razini

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odjaviti, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavite rezervni podatkovni centar za oporavak od katastrofe

Slijedite korake u nastavku za konfiguriranje ISO datoteke rezervnog podatkovnog centra:

Prije početka

Rezervni podatkovni centar trebao bi odražavati produkcijsko okruženje virtualnih strojeva i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala. (Pregled ovog modela prebacivanja u slučaju kvara potražite u Rezervni podatkovni centar za oporavak od katastrofe.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće obrađivati promet. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite syslogove kako biste potvrdili da su čvorovi u pasivnom načinu rada. U syslogovima biste trebali moći vidjeti poruku „KMS konfiguriran u pasivnom načinu rada“.

Što učiniti sljedeće

Nakon što konfigurirate passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog passiveMode može pomoći u brzom procesu prebacivanja na drugi sustav tijekom oporavka od katastrofe. Detaljan postupak prebacivanja u slučaju kvara pogledajte u Oporavak od katastrofe korištenjem podatkovnog centra u stanju pripravnosti.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15 ili 16, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

Upravljački program SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	Uobičajeni URL-ovi hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite ima li vaša partnerska organizacija omogućenu značajku Multi-Tenant HDS i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Ne nastavljajte s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je navesti naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovore/rukovanje?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514i prenijeli korijenski certifikat sysloga.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na svom računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu ] kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite čvor VM-a, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `cisco` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi mogli trebati napraviti promjene. Pobrinite se da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve koji se primaju od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Stvori novi klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočni prozor također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Za stvaranje dodatnih klastera prijavite se u Partner Hub i kliknite Usluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku kako biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS-a.

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije korisnika svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu Dodijeljeni korisnici. Kartica Dodijeljeni korisnici neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj korisnike.
6	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
7	Kliknite Dodaj, korisnik će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više korisnika u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce. Dodani korisnici bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite kupce kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite pored statusa čekanja upravljanja CMK-om za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodijeljeni kupci.
5	S popisa prikazanih organizacija korisnika kliknite s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta sadrži tekst, "Upotrijebite API za račun stroja za ažuriranje lozinke.") Ako vaše lozinke još nisu istekle, alat vam pruža dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Odjavi čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju `passiveMode` kako biste čvor učinili aktivnim. Čvor može obraditi promet nakon što je ovo konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni okviri Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite izlaz syslog-a kako biste potvrdili da čvorovi podatkovnog centra u stanju pripravnosti nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada“ ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon prebacivanja na drugi način rada, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite rezervni podatkovni centar u pasivni način rada slijedeći korake opisane u Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prime promjene konfiguracije, možete ponovno odmontirati ISO datoteku ovim postupkom.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
5	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
6	Kontaktirajte Cisco podršku.

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odregistrirajte čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijavite se u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Stvori klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	Kliknite na karticu Dodijeljeni korisnici.
10	Kliknite Dodaj korisnike.
11	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
12	Kliknite Dodaj, korisnik će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike sinkronih i asinkronih niti; metrike upozorenja koje uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike spremišta podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet radi ispravnog rada usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
2. srpnja 2026.	Dodan odjeljak Onemogući agente u oblaku.
23. lipnja 2026.	Dodan je odjeljak Tumačenje HDS zapisnika i razumijevanje oznaka agenata.
1. lipnja 2026.	Dodan je odjeljak HDS Developer API-ji. Dodana je napomena u odjeljku Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.
16. travnja 2026.	Ažurirani su zahtjevi poslužitelja baze podataka radi dodavanja podrške za PostgreSQL verzije 17 i 18.
25. ožujka 2026.	Ažurirana je zadana lozinka koja se koristi za prijavu na virtualni stroj čvora Hybrid Data Security.
5. prosinca 2025.	Ažurirano Izradite ISO konfiguraciju za HDS hostove s ispravnim tekstom korisničkog sučelja na stranici Sistemski zapisnici i dodana je uputa za prijenos korijenskog certifikata sysloga prilikom konfiguriranja TLS enkripcije.
21. studenog 2025.	Dodan je odjeljak Često postavljana pitanja. Dodani su odjeljci Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe i Oporavak od katastrofe pomoću rezervnog podatkovnog centra. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

O. Glavni ključevi korisnika (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO datoteci.

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

O. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK-om (glavnim ključem korisnika).

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, bit će odmah pogođene. Postojeći sadržaj u prostorima bit će dostupan dok ne istekne lokalna predmemorija. Nakon 24 sata, korisnici kojima upravlja partner prijeći će na Cloud KMS, a mogu se pojaviti problemi s prethodno kreiranim prostorima i prostorima jedan na jedan.

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

O. Osvježavanje predmemorije u oblaku može trajati maksimalno 24 sata.

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje korisničke organizacije koje ispunjavaju Cisco Webex licencne zahtjeve.

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj je dostupan samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

A. Da. Trenutačno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnera, slične CMK-ovima kupaca.

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

A. Da. Partnerske i zakupne organizacije mogu se nalaziti u različitim geografskim regijama.

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

O. Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partnerski centar. Idi na Usluge > Hibridna sigurnost podataka > Postavke . Ako je status HDS-a aktiviran, korisnici partnerske organizacije, kao i dodijeljeni klijenti, koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste potvrdili da je HDS aktiviran. Pogledajte Testiranje implementacije sigurnosti hibridnih podataka.

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

A. Da. Pod man Desktop je alternativa otvorenog koda za Docker Desktop. Pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

O. Preporučujemo minimalno dva čvora, a maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

O. Vidi Zahtjevi za vanjsku povezivost.

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

O. Ne. Pro paket nije uvjet za partnerske organizacije. Za pomoć pri postavljanju Multi-Tenant HDS-a obratite se svom Cisco partneru ili voditelju računa.

P. Je li HSM podržan u Multi-Tenant HDS-u?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u X.509 zahtjevima za certifikat.

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

O. Ne. ISO je potrebno montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika u Partner Hub, provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a.

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon što se HDS aktivira u Partner Hubu.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potreban je administrator partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom hibridne sigurnosti podataka za više zakupaca.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja visoke razine

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odjaviti, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavite rezervni podatkovni centar za oporavak od katastrofe

Slijedite korake u nastavku za konfiguriranje ISO datoteke rezervnog podatkovnog centra:

Prije početka

Rezervni podatkovni centar trebao bi odražavati produkcijsko okruženje virtualnih strojeva i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala. (Pregled ovog modela prebacivanja u slučaju kvara potražite u Rezervni podatkovni centar za oporavak od katastrofe.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće obrađivati promet. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite syslogove kako biste potvrdili da su čvorovi u pasivnom načinu rada. U syslogovima biste trebali moći vidjeti poruku „KMS konfiguriran u pasivnom načinu rada“.

Što učiniti sljedeće

Nakon što konfigurirate passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog passiveMode može pomoći u brzom procesu prebacivanja na drugi sustav tijekom oporavka od katastrofe. Detaljan postupak prebacivanja u slučaju kvara pogledajte u Oporavak od katastrofe korištenjem podatkovnog centra u stanju pripravnosti.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 ili 18, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

Upravljački program SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	Uobičajeni URL-ovi hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite ima li vaša partnerska organizacija omogućenu značajku Multi-Tenant HDS i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Ne nastavljajte s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je navesti naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovore/rukovanje?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514i prenijeli korijenski certifikat sysloga.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu ] kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite čvor VM-a, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi možda trebali napraviti promjene. Pobrinite se da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve primljene od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Stvori novi klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočna poruka također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Za stvaranje dodatnih klastera prijavite se u Partner Hub i kliknite Usluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku kako biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS-a.

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije korisnika svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu Dodijeljeni korisnici. Kartica Dodijeljeni korisnici neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj korisnike.
6	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
7	Kliknite Dodaj, korisnik će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više korisnika u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce. Dodani korisnici bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite kupce kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite pored statusa čekanja upravljanja CMK-om za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodijeljeni kupci.
5	S popisa prikazanih organizacija korisnika kliknite s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tumačenje HDS zapisnika i razumijevanje oznaka agenata

HDS zapisnici pružaju detaljne informacije o KMS zahtjevima. Ovi zapisnici uključuju različita polja koja pomažu u identificiranju prirode zahtjeva i povezanog identiteta. Razumijevanje ovih područja ključno je za ispravno tumačenje aktivnosti i pouzdanih internih operacija.

Nazivlje

Radi jasnoće prilikom pregledavanja HDS zapisnika, važno je razumjeti sljedeće pojmove:

Termin	Definicija
Račun usluge	Identitet usluge koji omogućuje Webex uslugama sigurno izvršavanje ovlaštenih radnji.
Agent	Identitet servisnog entiteta ili servisnog računa koji se koristi za izvođenje automatiziranih operacija unutar HDS okruženja.
Oznaka agenta	Oznaka uključena u HDS zapisnike koja identificira specifičan izvor i vrstu dolaznog zahtjeva, omogućujući učinkovitu reviziju kontrole pristupa.
Delegirani pristup	Ovlašteni servisni račun koji šalje zahtjev za određenog korisnika, unutar dopuštenja tog korisnika. Pojavljuje se kao zahtjev za delegiranje: `agent -> userid`.

Pojam "Agent" u ovom kontekstu odnosi se posebno na identitete HDS usluga. Ovo nije povezano s agentima pokretanim umjetnom inteligencijom koji se koriste u drugim Webex značajkama.

Zahtjev se uslužuje samo kada potječe od:

autentificirani korisnik u vašoj organizaciji ili
servisni račun koji se nalazi u vašoj organizaciji i koji je vaša organizacija odobrila.

Pregled polja zapisnika

Polje	Što predstavlja
Vremenska oznaka	Datum i vrijeme operacije.
kms.data.method	Izvršena KMS operacija (npr. dohvaćanje).
kms.data.orgld	Identifikator organizacije.
kms.data.httpUserAgent	Klijent ili usluga koja podnosi zahtjev.
WEBEX_ID ZA PRAĆENJE	Jedinstveni identifikator praćenja za zahtjev.
kms.data.uriHost / kms.data.uri	Host i resurs na koje se zahtjev odnosi.
kms.data.userld	Identitet koji izvršava zahtjev, uključujući oznaku agenta.
kms.odgovor.uspjeh	Označava je li zahtjev uspio.

Vrste zahtjeva - Kratki pregled

Oznaka u zapisniku	Oznaka agenta	Što predstavlja	Tipične operacije
Vrsta korisnika: userAgent	Korisnički agent	Pouzdani servisni račun povezan s korisničkim tijekom rada, ograničen na vašu organizaciju.	Creating/managing ključevi za korisnički proces.
o-agent <id> -> korisnički ID <id>	Organizacijski agent	Račun pouzdane usluge na razini organizacije koji koristi delegirani pristup.	Izdvajanje podataka iz Webexa od strane službenika za usklađenost, integracije kalendara.
c-agent <id> -> korisnički ID <id>	Agent u oblaku	Webex usluga koja izvršava delegirani zahtjev za određenog korisnika.	Skeniranje virusa, pregled sadržaja, transkripti.
c-agent <id>	Agent u oblaku	Webex usluga koja izvršava delegirani zahtjev.	ECDHE / ključevi sesije.
UUID krajnjeg korisnika	-	Autentificirani krajnji korisnik koji komunicira s HDS-om.	Korisnik koji dohvaća vlastiti ključ.

Vrste zahtjeva - Detaljno

Oznake agenata kategoriziraju izvor zahtjeva i pomažu u određivanju odgovarajućih kontrola pristupa. Sljedeći primjeri pokazuju više vrsta zahtjeva i oznake agenata povezane s njima.

Korisnički agent (korisničkiAgent):

To su pouzdani Webex servisni računi povezani s određenim korisničkim tijekovima rada i ograničeni su na organizaciju korisnika. Obično se koriste kada usluga stvara i upravlja ključevima u ime korisničkog tijeka rada.

Primjer zapisnika:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje korisničkog agenta (userAgent) koji izvodi operacije prikupljanja resursa za Webex uslugu.
Organizacijski agent (o-agent):

Ovi pouzdani Webex servisni računi ovlašteni su za izvršavanje delegiranih operacija u ime korisnika unutar HDS-a. Ograničeni na organizaciju klijenta, ovi računi izvršavaju operacije na razini organizacije. Ova funkcionalnost podržava nekoliko značajki, kao što je omogućavanje službenicima za usklađenost da pretražuju i izdvajaju podatke o komunikaciji Webexa - osiguravajući organizacijsku usklađenost s regulatornim, sigurnosnim i standardima privatnosti podataka.

Primjer zapisnika:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje organizacijskog agenta (o-agent 9[~]c) koji dohvaća ključ u ime korisnika (4[~]b) za Webex uslugu.
Agent u oblaku (c-agent):
Ovi pouzdani Webex servisni računi ovlašteni su za izvođenje operacija na HDS-u putem delegiranog pristupa u ime korisnika. Podržavaju bitne značajke - kao što su snimke nakon sastanka, transkripti, skeniranje protiv zlonamjernog softvera i pregledi datoteka koje poboljšavaju cjelokupno korisničko iskustvo.

Iako se Cloud Agents može onemogućiti izmjenom ISO datoteke, korisnici bi trebali biti svjesni da će to rezultirati gubitkom funkcionalnosti, kao što su snimke nakon sastanka, transkripti, pregledi datoteka i automatizirano skeniranje protiv zlonamjernog softvera u Webex App Spacesu. Za više informacija pogledajte odjeljak Onemogući agente u oblaku.

Primjer zapisnika:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje agenta u oblaku (c-agent b[~]c) koji dohvaća ključ sadržaja u ime korisnika (9[~]c).

Izravna interakcija krajnjeg korisnika:

Autentificirani korisnik koji izravno komunicira s HDS-om.

Primjer zapisnika:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ključni pokazatelj: Primjer zapisnika prikazuje krajnjeg korisnika (c[~]f) koji preuzima ključ i izravno komunicira s HDS-om.

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta uključuje tekst: "Koristite API računa računala za ažuriranje lozinke.") Ako lozinke još nisu istekle, alat vam daje dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Odjavi čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju `passiveMode` kako biste čvor učinili aktivnim. Čvor može obraditi promet nakon što je ovo konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni okviri Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite izlaz syslog-a kako biste potvrdili da čvorovi podatkovnog centra u stanju pripravnosti nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada“ ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon prebacivanja u drugi sustav, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite rezervni podatkovni centar u pasivni način rada slijedeći korake opisane u Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prime promjene konfiguracije, možete ponovno odmontirati ISO datoteku ovim postupkom.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
5	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
6	Kontaktirajte Cisco podršku.

HDS Developer API-ji

HDS Developer API-ji su način za dohvaćanje analitičkih i praćenih podataka, kao i za rješavanje problema s vašim HDS implementacijama putem Webex Developer Portala. API-ji su dostupni na . https://developer.webex.com/messaging/docs/api/v1/hds

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Onemogući agente u oblaku

Slijedite korake u nastavku kako biste onemogućili agente u oblaku za implementaciju HDS-a.

To će rezultirati gubitkom značajki kao što su snimke nakon sastanka, transkripti, pregledi datoteka i automatizirano skeniranje zlonamjernog softvera u Webex App Spacesu.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguriranja Syslogd poslužitelja, kliknite na Napredne postavke.
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste onemogućili agente u oblaku. To će osigurati da agenti u oblaku ne smiju rukovati HDS prometom. `cloudAgentUpdateEnabled: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni okviri Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u vašem HDS implementaciji. Provjerite jesu li Cloud agenti onemogućeni provjerom sljedećih unosa u syslogovima: 'Ažuriranje Cloud Agenta onemogućeno'.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odregistrirajte čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijavite se u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Stvori klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	Kliknite na karticu Dodijeljeni korisnici.
10	Kliknite Dodaj korisnike.
11	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
12	Kliknite Dodaj, korisnik će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike o sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike o spremištu podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet radi ispravnog rada usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
1. lipnja 2026.	Dodan je odjeljak HDS Developer API-ji. Dodana je napomena u odjeljku Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.
16. travnja 2026.	Ažurirani su zahtjevi poslužitelja baze podataka radi dodavanja podrške za PostgreSQL verzije 17 i 18.
25. ožujka 2026.	Ažurirana je zadana lozinka koja se koristi za prijavu na virtualni stroj čvora Hybrid Data Security.
5. prosinca 2025.	Ažurirano Izradite ISO konfiguraciju za HDS hostove s ispravnim tekstom korisničkog sučelja na stranici Sistemski zapisnici i dodana je uputa za prijenos korijenskog certifikata sysloga prilikom konfiguriranja TLS enkripcije.
21. studenog 2025.	Dodan je odjeljak Često postavljana pitanja. Dodani su odjeljci Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe i Oporavak od katastrofe pomoću rezervnog podatkovnog centra. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

O. Glavni ključevi korisnika (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO datoteci.

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

O. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK-om (glavnim ključem korisnika).

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, bit će odmah pogođene. Postojeći sadržaj u prostorima bit će dostupan dok ne istekne lokalna predmemorija. Nakon 24 sata, korisnici kojima upravlja partner prijeći će na Cloud KMS, a mogu se pojaviti problemi s prethodno kreiranim prostorima i prostorima jedan na jedan.

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

O. Osvježavanje predmemorije u oblaku može trajati maksimalno 24 sata.

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje korisničke organizacije koje ispunjavaju Cisco Webex licencne zahtjeve.

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj je dostupan samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

A. Da. Trenutačno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnera, slične CMK-ovima kupaca.

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

A. Da. Partnerske i zakupne organizacije mogu se nalaziti u različitim geografskim regijama.

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

O. Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partnerski centar. Idi na Usluge > Hibridna sigurnost podataka > Postavke . Ako je status HDS-a aktiviran, korisnici partnerske organizacije, kao i dodijeljeni klijenti, koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste potvrdili da je HDS aktiviran. Pogledajte Testiranje implementacije sigurnosti hibridnih podataka.

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

A. Da. Podman Desktop je alternativa otvorenog koda za Docker Desktop. Pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

O. Preporučujemo minimalno dva čvora, a maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

O. Vidi Zahtjevi za vanjsku povezivost.

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

O. Ne. Pro paket nije uvjet za partnerske organizacije. Za pomoć pri postavljanju Multi-Tenant HDS-a obratite se svom Cisco partneru ili voditelju računa.

P. Je li HSM podržan u Multi-Tenant HDS-u?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u X.509 zahtjevima za certifikat.

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

O. Ne. ISO je potrebno montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika u Partner Hub, provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a.

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon što se HDS aktivira u Partner Hubu.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potreban je administrator partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom hibridne sigurnosti podataka za više zakupaca.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja visoke razine

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odjaviti, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavite rezervni podatkovni centar za oporavak od katastrofe

Slijedite korake u nastavku za konfiguriranje ISO datoteke rezervnog podatkovnog centra:

Prije početka

Rezervni podatkovni centar trebao bi odražavati produkcijsko okruženje virtualnih strojeva i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala. (Pregled ovog modela prebacivanja u slučaju kvara potražite u Rezervni podatkovni centar za oporavak od katastrofe.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće obrađivati promet. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite syslogove kako biste potvrdili da su čvorovi u pasivnom načinu rada. U syslogovima biste trebali moći vidjeti poruku „KMS konfiguriran u pasivnom načinu rada“.

Što učiniti sljedeće

Nakon što konfigurirate passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog passiveMode može pomoći u brzom procesu prebacivanja na drugi sustav tijekom oporavka od katastrofe. Detaljan postupak prebacivanja u slučaju kvara pogledajte u Oporavak od katastrofe korištenjem podatkovnog centra u stanju pripravnosti.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 ili 18, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

SQL Server JDBC upravljački program 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	Uobičajeni URL-ovi hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite ima li vaša partnerska organizacija omogućenu značajku Multi-Tenant HDS i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Nemojte nastaviti s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je upisati naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovore/rukovanje?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514i prenijeli korijenski certifikat sysloga.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na svom računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu ] kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite čvor VM-a, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi možda trebali napraviti promjene. Pazite da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	U web preglednik unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup`, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve primljene od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Stvori novi klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočni prozor također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Za stvaranje dodatnih klastera prijavite se u Partner Hub i kliknite Usluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku kako biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS-a.

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije korisnika svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu Dodijeljeni korisnici. Kartica Dodijeljeni korisnici neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj korisnike.
6	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
7	Kliknite Dodaj, korisnik će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više korisnika u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce. Dodani korisnici bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite kupce kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite pored statusa čekanja upravljanja CMK-om za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodijeljeni kupci.
5	S popisa prikazanih organizacija korisnika kliknite s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta uključuje tekst: "Koristite API računa računala za ažuriranje lozinke.") Ako lozinke još nisu istekle, alat vam daje dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Odjavi čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju `passiveMode` kako biste čvor učinili aktivnim. Čvor može obraditi promet nakon što je ovo konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite izlaz syslog-a kako biste potvrdili da čvorovi podatkovnog centra u stanju pripravnosti nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada“ ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon prebacivanja na drugi način rada, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite rezervni podatkovni centar u pasivni način rada slijedeći korake opisane u Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prime promjene konfiguracije, možete ponovno odmontirati ISO datoteku ovim postupkom.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
5	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
6	Kontaktirajte Cisco podršku.

HDS Developer API-ji

HDS Developer API-ji su način za dohvaćanje analitičkih i praćenih podataka, kao i za rješavanje problema s vašim HDS implementacijama putem Webex Developer Portala. API-ji su dostupni na . https://developer.webex.com/messaging/docs/api/v1/hds

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop možete preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odregistrirajte čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijavite se u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Stvori klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	Kliknite na karticu Dodijeljeni korisnici.
10	Kliknite Dodaj korisnike.
11	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
12	Kliknite Dodaj, korisnik će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike o sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike o spremištu podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet radi ispravnog rada usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nove i promijenjene informacije

Ova tablica obuhvaća nove značajke ili funkcionalnosti, promjene postojećeg sadržaja i sve veće pogreške koje su ispravljene u Vodiču za implementaciju hibridne sigurnosti podataka za više zakupaca.

Datum	Napravljene promjene
23. lipnja 2026.	Dodan je odjeljak Tumačenje HDS zapisnika i razumijevanje oznaka agenata.
1. lipnja 2026.	Dodan je odjeljak HDS Developer API-ji. Dodana je napomena u odjeljku Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.
16. travnja 2026.	Ažurirani su zahtjevi poslužitelja baze podataka radi dodavanja podrške za PostgreSQL verzije 17 i 18.
25. ožujka 2026.	Ažurirana je zadana lozinka koja se koristi za prijavu na virtualni stroj čvora Hybrid Data Security.
5. prosinca 2025.	Ažurirano Izradite ISO konfiguraciju za HDS hostove s ispravnim tekstom korisničkog sučelja na stranici Sistemski zapisnici i dodana je uputa za prijenos korijenskog certifikata sysloga prilikom konfiguriranja TLS enkripcije.
21. studenog 2025.	Dodan je odjeljak Često postavljana pitanja. Dodani su odjeljci Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe i Oporavak od katastrofe pomoću rezervnog podatkovnog centra. Uklonjeno (Beta) iz naslova vodiča za implementaciju.
8. svibnja 2025.	Dodano Premještanje postojećeg HDS implementacije za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u odjeljku Partner Hub. Ažuriran je izlaz sysloga radi poboljšanja čitljivosti u odjeljku Testiranje implementacije sigurnosti hibridnih podataka. Ažurirani Zahtjevi za virtualni host, Tijek zadataka implementacije hibridne sigurnosti podatakai Instalacija HDS Host OVA za dodavanje podrške za ESXi 8.0.
4. ožujka 2025.	Dodano Pokretanje alata za postavljanje HDS-a pomoću odjeljka Podman Desktop. Dodana je napomena u Zahtjevi za Docker Desktop koja korisnicima pruža alternativnu opciju otvorenog koda. Ažurirano Izradite ISO konfiguraciju za HDS hostove i Promijenite konfiguraciju čvora s uputama za korištenje Podman Desktopa za korisnike bez Docker Desktop licence.
30. siječnja 2025.	Dodana je verzija SQL servera 2022 na popis podržanih SQL servera u Zahtjevi za poslužitelj baze podataka.
15. siječnja 2025.	Dodana ograničenja sigurnosti podataka hibridnog sustava s više zakupaca.
8. siječnja 2025.	Dodana je napomena u Izvršite početno postavljanje i preuzmite instalacijske datoteke u kojoj se navodi da je klik na Postavi na HDS kartici u Partner Hubu važan korak u procesu instalacije.
7. siječnja 2025.	Ažurirani su zahtjevi za virtualni host, tijek zadataka implementacije hibridne sigurnosti podatakai instalacija HDS Host OVA kako bi se prikazali novi zahtjevi ESXi 7.0.
13. prosinca 2024.	Prvi put objavljeno.

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Slijedite ove korake za potpunu deaktivaciju Multi-Tenant HDS-a.

Prije početka

Ovaj zadatak treba obavljati samo administrator partnera s punim ovlastima.

1	Uklonite sve korisnike iz svih svojih klastera, kao što je spomenuto u Uklanjanje organizacija korisnika.
2	Poništite CMK-ove svih kupaca, kao što je spomenuto u Poništite CMK-ove stanara uklonjenih iz HDS-a..
3	Uklonite sve čvorove iz svih vaših klastera, kao što je spomenuto u Uklanjanje čvora.
4	Izbrišite sve svoje klastere iz Partner Huba pomoću jedne od sljedeće dvije metode. Kliknite na klaster koji želite izbrisati i odaberite Izbriši ovaj klaster u gornjem desnom kutu stranice pregleda. Na stranici Resursi kliknite s desne strane klastera i odaberite Ukloni klaster.
5	Kliknite karticu Postavke na stranici s pregledom hibridne sigurnosti podataka i kliknite Deaktiviraj HDS na kartici Status HDS-a.

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

O. Glavni ključevi korisnika (CMK) pohranjeni su u bazi podataka i šifrirani su glavnim ključem koji je pohranjen u ISO datoteci.

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

O. Ne. Podaci svake organizacije korisnika šifrirani su vlastitim CMK-om (glavnim ključem korisnika).

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

O. Neke operacije, poput stvaranja prostora i zakazivanja sastanaka, bit će odmah pogođene. Postojeći sadržaj u prostorima bit će dostupan dok ne istekne lokalna predmemorija. Nakon 24 sata, korisnici kojima upravlja partner prijeći će na Cloud KMS, a mogu se pojaviti problemi s prethodno kreiranim prostorima i prostorima jedan na jedan.

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

O. Osvježavanje predmemorije u oblaku može trajati maksimalno 24 sata.

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

O. To obično znači da ne postoje korisničke organizacije koje ispunjavaju Cisco Webex licencne zahtjeve.

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

O. Operacije poput stvaranja prostora i zakazivanja sastanaka odmah su pogođene. Postojeći sadržaj je dostupan samo dok ne istekne lokalna predmemorija.

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

A. Da. Trenutačno su korisnički podaci partnerske organizacije šifrirani glavnim ključem. U budućnosti će partnerske organizacije imati ključeve specifične za partnera, slične CMK-ovima kupaca.

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

A. Da. Partnerske i zakupne organizacije mogu se nalaziti u različitim geografskim regijama.

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

O. Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

O. Ne, ovo trenutno nije podržano. Podrška za ovu funkcionalnost planirana je za budućnost.

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

O. Prijavite se u Partnerski centar. Idi na Usluge > Hibridna sigurnost podataka > Postavke . Ako je status HDS-a aktiviran, korisnici partnerske organizacije, kao i dodijeljeni klijenti, koriste Multi-Tenant HDS.

Alternativno, možete provjeriti svoje syslogove kako biste potvrdili da je HDS aktiviran. Pogledajte Testiranje implementacije hibridne sigurnosti podataka.

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

A. Da. Podman Desktop je alternativa otvorenog koda za Docker Desktop. Pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

O. Preporučujemo minimalno dva čvora, a maksimalno 1000.

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

O. Vidi Zahtjevi za vanjsku povezivost.

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

O. Ne. Pro paket nije uvjet za partnerske organizacije. Za pomoć pri postavljanju Multi-Tenant HDS-a obratite se svom Cisco partneru ili voditelju računa.

P. Je li HSM podržan u Multi-Tenant HDS-u?

O. Ne, trenutno Multi-Tenant HDS ne podržava HSM.

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

O. Ne. Multi-Tenant HDS zahtijeva certifikat preuzet od pouzdanog CA koji ispunjava sve zahtjeve navedene u X.509 zahtjevima za certifikat.

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

O. Ne. ISO je potrebno montirati samo prilikom izmjene ISO konfiguracija. Prilikom dodavanja novog korisnika u Partner Hub, provjerite možete li stvoriti CMK-ove pomoću alata za postavljanje HDS-a. Pogledajte Izrada glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a.

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

O. Korisnici će početi koristiti lokalni KMS za upravljanje ključevima tek nakon što se HDS aktivira u Partner Hubu.

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Od prvog dana, sigurnost podataka bila je primarni fokus pri dizajniranju Webex aplikacije. Temelj ove sigurnosti je end-to-end enkripcija sadržaja, koju omogućuju klijenti Webex aplikacije koji komuniciraju s uslugom upravljanja ključevima (KMS). KMS je odgovoran za stvaranje i upravljanje kriptografskim ključevima koje klijenti koriste za dinamičko šifriranje i dešifriranje poruka i datoteka.

Prema zadanim postavkama, svi korisnici Webex aplikacije dobivaju end-to-end enkripciju s dinamičkim ključevima pohranjenim u cloud KMS-u, u Ciscovoj sigurnosnoj domeni. Hibridna sigurnost podataka premješta KMS i druge sigurnosne funkcije u podatkovni centar vašeg poduzeća, tako da nitko osim vas ne drži ključeve vašeg šifriranog sadržaja.

Višenamjenska hibridna sigurnost podataka omogućuje organizacijama da iskoriste HDS putem pouzdanog lokalnog partnera koji može djelovati kao pružatelj usluga i upravljati lokalnim šifriranjem i drugim sigurnosnim uslugama. Ova postavka omogućuje partnerskoj organizaciji potpunu kontrolu nad implementacijom i upravljanjem ključevima za šifriranje te osigurava sigurnost korisničkih podataka organizacija klijenata od vanjskog pristupa. Partnerske organizacije postavljaju HDS instance i stvaraju HDS klastere prema potrebi. Svaka instanca može podržavati više korisničkih organizacija za razliku od redovnog HDS implementacije koja je ograničena na jednu organizaciju.

Iako partnerske organizacije imaju kontrolu nad implementacijom i upravljanjem, nemaju pristup podacima i sadržaju koji generiraju korisnici. Ovaj pristup je ograničen na organizacije klijenata i njihove korisnike.

To također omogućuje manjim organizacijama da iskoriste HDS, budući da su usluge upravljanja ključevima i sigurnosna infrastruktura poput podatkovnih centara u vlasništvu pouzdanog lokalnog partnera.

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Sadržaj koji generiraju korisnici zaštićen je od vanjskog pristupa, poput pružatelja usluga u oblaku.
Lokalni pouzdani partneri upravljaju ključevima za šifriranje kupaca s kojima već imaju uspostavljen odnos.
Mogućnost lokalne tehničke podrške, ako je pruža partner.
Podržava sadržaj za sastanke, poruke i pozive.

Ovaj dokument ima za cilj pomoći partnerskim organizacijama u postavljanju i upravljanju korisnicima u okviru hibridnog sustava sigurnosti podataka za više zakupaca.

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Partnerske organizacije ne smiju imati aktivno postojeće HDS raspoređivanje u Control Hubu.
Organizacije zakupci ili klijenti koje žele da njima upravlja partner ne smiju imati nikakvu postojeću HDS implementaciju u Control Hubu.
Nakon što partner implementira Multi-Tenant HDS, svi korisnici korisničkih organizacija, kao i korisnici partnerske organizacije, počinju koristiti Multi-Tenant HDS za svoje usluge šifriranja.

Partnerska organizacija i korisničke organizacije kojima upravljaju bit će na istom Multi-Tenant HDS implementaciji.

Partnerska organizacija više neće koristiti cloud KMS nakon implementacije Multi-Tenant HDS-a.
Ne postoji mehanizam za vraćanje ključeva u Cloud KMS nakon implementacije HDS-a.
Uloge administratora imaju određena ograničenja; detalje potražite u odjeljku u nastavku.

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Potpuni administrator partnera - Može upravljati postavkama za sve korisnike kojima partner upravlja. Također mogu dodijeliti administratorske uloge postojećim korisnicima u organizaciji i dodijeliti partnerskim administratorima upravljanje određenim korisnicima.
Administrator partnera - Može upravljati postavkama za korisnike koje je administrator omogućio ili koji su dodijeljeni korisniku.
Puni administrator - Administrator partnerske organizacije koji je ovlašten za obavljanje zadataka kao što su izmjena postavki organizacije, upravljanje licencama i dodjeljivanje uloga.

Postavljanje i upravljanje HDS-om za više zakupaca od početka do kraja za sve organizacije korisnika - Potrebna su puna administratorska prava partnera i puna administratorska prava.
Upravljanje dodijeljenim organizacijama zakupaca - Potrebna su administratorska prava partnera i puna administratorska prava.

Arhitektura sigurnosnog područja

Webexova arhitektura oblaka odvaja različite vrste usluga u odvojene domene ili domene povjerenja, kao što je prikazano u nastavku.

Kako bismo bolje razumjeli hibridnu sigurnost podataka, prvo pogledajmo ovaj slučaj čistog oblaka, gdje Cisco pruža sve funkcije u svojim cloud područjima. Usluga identifikacije, jedino mjesto gdje korisnici mogu biti izravno povezani sa svojim osobnim podacima poput adrese e-pošte, logički je i fizički odvojena od sigurnosnog područja u podatkovnom centru B. Oboje su pak odvojene od područja u kojem se u konačnici pohranjuje šifrirani sadržaj, u podatkovnom centru C.

Na ovom dijagramu, klijent je Webex aplikacija koja se izvodi na korisnikovom prijenosnom računalu i autentificirala se putem usluge identiteta. Kada korisnik sastavlja poruku za slanje u prostor, odvijaju se sljedeći koraci:

Klijent uspostavlja sigurnu vezu s uslugom upravljanja ključevima (KMS), a zatim traži ključ za šifriranje poruke. Sigurna veza koristi ECDH, a KMS šifrira ključ pomoću glavnog ključa AES-256.
Poruka se šifrira prije nego što napusti klijenta. Klijent ga šalje usluzi indeksiranja, koja stvara šifrirane indekse pretraživanja kako bi pomogla u budućim pretragama sadržaja.
Šifrirana poruka šalje se službi za usklađenost radi provjere usklađenosti.
Šifrirana poruka pohranjuje se u području pohrane.

Prilikom implementacije Hybrid Data Securityja, funkcije sigurnosnog područja (KMS, indeksiranje i usklađenost) premještate u svoj lokalni podatkovni centar. Ostale usluge u oblaku koje čine Webex (uključujući pohranu identiteta i sadržaja) ostaju u Ciscovoj nadležnosti.

Suradnja s drugim organizacijama

Korisnici u vašoj organizaciji mogu redovito koristiti Webex aplikaciju za suradnju s vanjskim sudionicima u drugim organizacijama. Kada jedan od vaših korisnika zatraži ključ za prostor u vlasništvu vaše organizacije (jer ga je stvorio jedan od vaših korisnika), vaš KMS šalje ključ klijentu putem ECDH sigurnog kanala. Međutim, kada druga organizacija posjeduje ključ za prostor, vaš KMS usmjerava zahtjev prema Webex oblaku putem zasebnog ECDH kanala kako bi dobio ključ od odgovarajućeg KMS-a, a zatim vraća ključ vašem korisniku na izvornom kanalu.

KMS usluga koja se izvodi u organizaciji A provjerava veze s KMS-ovima u drugim organizacijama pomoću x.509 PKI certifikata. Pogledajte Priprema okruženja za detalje o generiranju x.509 certifikata za korištenje s implementacijom hibridne sigurnosti podataka za više zakupaca.

Očekivanja za implementaciju hibridne sigurnosti podataka

Implementacija hibridne sigurnosti podataka zahtijeva značajnu predanost i svijest o rizicima koji dolaze s posjedovanjem ključeva za šifriranje.

Za implementaciju hibridne sigurnosti podataka morate osigurati:

Sigurni podatkovni centar u zemlji koja je podržana lokacija za Cisco Webex Teams planove.
Oprema, softver i mrežni pristup opisani u Pripremite svoje okruženje.

Potpuni gubitak ISO datoteke konfiguracije koju izradite za Hybrid Data Security ili baze podataka koju pružite rezultirat će gubitkom ključeva. Gubitak ključa sprječava korisnike da dešifriraju sadržaj prostora i ostale šifrirane podatke u Webex aplikaciji. Ako se to dogodi, možete izraditi novo raspoređivanje, ali bit će vidljiv samo novi sadržaj. Kako biste izbjegli gubitak pristupa podacima, morate:

Upravljajte sigurnosnom kopijom i oporavkom baze podataka i ISO datoteke konfiguracije.
Budite spremni za brzi oporavak od katastrofe ako se dogodi katastrofa, poput kvara diska baze podataka ili katastrofe podatkovnog centra.

Ne postoji mehanizam za vraćanje ključeva u oblak nakon implementacije HDS-a.

Postupak postavljanja visoke razine

Ovaj dokument pokriva postavljanje i upravljanje implementacijom hibridne sigurnosti podataka za više zakupaca:

Postavljanje hibridne sigurnosti podataka— To uključuje pripremu potrebne infrastrukture i instaliranje softvera za hibridnu sigurnost podataka, izgradnju HDS klastera, dodavanje organizacija zakupaca u klaster i upravljanje njihovim glavnim ključevima korisnika (CMK). To će omogućiti svim korisnicima vaših organizacija klijenata da koriste vaš hibridni klaster sigurnosti podataka za sigurnosne funkcije.

Faze postavljanja, aktivacije i upravljanja detaljno su obrađene u sljedeća tri poglavlja.
Održavajte svoju implementaciju hibridne sigurnosti podataka— Webex oblak automatski pruža kontinuirane nadogradnje. Vaš IT odjel može pružiti podršku prve razine za ovo raspoređivanje i po potrebi angažirati Ciscovu podršku. Možete koristiti obavijesti na zaslonu i postaviti upozorenja putem e-pošte u Partner Hubu.
Razumijevanje uobičajenih upozorenja, koraka za rješavanje problema i poznatih problema— Ako naiđete na probleme s implementacijom ili korištenjem Hybrid Data Securityja, posljednje poglavlje ovog vodiča i dodatak Poznati problemi mogu vam pomoći u utvrđivanju i rješavanju problema.

Hibridni model implementacije sigurnosti podataka

Unutar vašeg podatkovnog centra poduzeća, hibridnu sigurnost podataka implementirate kao jedan klaster čvorova na odvojenim virtualnim hostovima. Čvorovi komuniciraju s Webex oblakom putem sigurnih websocketa i sigurnog HTTP-a.

Tijekom procesa instalacije, pružamo vam OVA datoteku za postavljanje virtualnog uređaja na virtualnim strojevima koje ste nam dali. Alat za postavljanje HDS-a koristite za izradu prilagođene ISO datoteke za konfiguraciju klastera koju montirate na svaki čvor. Klaster hibridne sigurnosti podataka koristi vaš Syslogd poslužitelj i bazu podataka PostgreSQL ili Microsoft SQL Server. (Syslogd i detalje veze s bazom podataka konfigurirate u alatu za postavljanje HDS-a.)

Hibridni model implementacije sigurnosti podataka

Minimalni broj čvorova koje možete imati u klasteru je dva. Preporučujemo barem tri po klasteru. Posjedovanje više čvorova osigurava da se usluga ne prekida tijekom nadogradnje softvera ili drugih aktivnosti održavanja na čvoru. (Webex oblak nadograđuje samo jedan čvor odjednom.)

Svi čvorovi u klasteru pristupaju istom ključnom spremištu podataka i zapisuju aktivnosti na isti syslog poslužitelj. Sami čvorovi su bez stanja i obrađuju ključne zahtjeve kružnim postupkom, prema uputama oblaka.

Čvorovi postaju aktivni kada ih registrirate u Partner Hubu. Da biste pojedinačni čvor isključili iz upotrebe, možete ga odregistrirati, a kasnije ga po potrebi ponovno registrirati.

Rezervni podatkovni centar za oporavak od katastrofe

Tijekom implementacije postavljate sigurni rezervni podatkovni centar. U slučaju katastrofe podatkovnog centra, možete ručno prebaciti implementaciju u rezervni podatkovni centar.

Baze podataka aktivnih i rezervnih podatkovnih centara međusobno su sinkronizirane, što će smanjiti vrijeme potrebno za izvođenje prebacivanja na drugi sustav.

Aktivni čvorovi Hybrid Data Security moraju uvijek biti u istom podatkovnom centru kao i aktivni poslužitelj baze podataka.

Postavite rezervni podatkovni centar za oporavak od katastrofe

Slijedite korake u nastavku za konfiguriranje ISO datoteke podatkovnog centra u stanju pripravnosti:

Prije početka

Rezervni podatkovni centar trebao bi odražavati produkcijsko okruženje virtualnih strojeva i sigurnosnu kopiju PostgreSQL ili Microsoft SQL Server baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala. (Pregled ovog modela prebacivanja u slučaju kvara potražite u Rezervni podatkovni centar za oporavak od katastrofe.)
Provjerite je li omogućena sinkronizacija baze podataka između baze podataka aktivnih i pasivnih čvorova klastera.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove. ISO datoteka mora biti kopija izvorne ISO datoteke primarnog podatkovnog centra na koju će se izvršiti sljedeća ažuriranja konfiguracije.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku kako biste čvor postavili u pasivni način rada. U ovom načinu rada čvor će biti registriran u organizaciji i povezan s oblakom, ali neće obrađivati promet. `passiveMode: 'true'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni okviri Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite syslogove kako biste potvrdili da su čvorovi u pasivnom načinu rada. U syslogovima biste trebali moći vidjeti poruku „KMS konfiguriran u pasivnom načinu rada“.

Što učiniti sljedeće

Nakon što konfigurirate passiveMode u ISO datoteci i spremite je, možete stvoriti drugu kopiju ISO datoteke bez konfiguracije passiveMode i spremiti je na sigurno mjesto. Ova kopija ISO datoteke bez konfiguriranog passiveMode može pomoći u brzom procesu prebacivanja na drugi sustav tijekom oporavka od katastrofe. Detaljan postupak prebacivanja u slučaju kvara pogledajte u Oporavak od katastrofe korištenjem podatkovnog centra u stanju pripravnosti.

Podrška za proxy poslužitelje

Hibridna sigurnost podataka podržava eksplicitne, transparentne preglede i opunomoćene opunomoćenici. Te proxyje možete povezati s implementacijom da biste mogli osigurati i nadzirati promet od poduzeća do oblaka. Možete koristiti sučelje administratora platforme na čvorovima za upravljanje certifikatima i za provjeru cjelokupnog statusa povezivanja nakon postavljanja proxyja na čvorovima.

Čvorovi hibridne sigurnosti podataka podržavaju sljedeće mogućnosti proxy poslužitelja:

Bez proxyja—Zadana vrijednost ako ne koristite HDS čvor za postavljanje pohrane povjerenja & Konfiguracija proxyja za integraciju proxyja. Ažuriranje certifikata nije potrebno.
Transparentni proxy koji ne provjerava— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s proxyjem koji ne provjerava. Ažuriranje certifikata nije potrebno.
Transparentno tuneliranje ili inspekcija proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na čvorovima nisu potrebne promjene HTTP ili HTTPS konfiguracije. Međutim, čvorovi trebaju korijenski certifikat tako da vjeruju proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS).
Eksplicitni proxy— S eksplicitnim proxyjem, HDS čvorovima govorite koji proxy poslužitelj i shemu autentifikacije trebaju koristiti. Da biste konfigurirali eksplicitni proxy, na svaki čvor morate unijeti sljedeće podatke:
1. Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu.
2. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa.
3. Proxy protokol— Ovisno o tome što vaš proxy poslužitelj podržava, odaberite jedan od sljedećih protokola:
  - HTTP – prikazuje i kontrolira sve zahtjeve koje klijent šalje.
  - HTTPS – pruža kanal poslužitelju. Klijent prima i provjerava valjanost certifikata poslužitelja.
4. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti:
  - Ništa—Nije potrebna daljnja provjera autentičnosti.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
  - Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje.
    
    Dostupno ako kao proxy protokol odaberete HTTP ili HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.
  - Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže.
    
    Dostupno samo ako kao proxy protokol odaberete HTTPS.
    
    Zahtijeva unos korisničkog imena i lozinke na svaki čvor.

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Ovaj dijagram prikazuje oglednu vezu između hibridne sigurnosti podataka, mreže i proxy poslužitelja. Za transparentnu provjeru i HTTPS eksplicitnu provjeru mogućnosti proxy poslužitelja, isti korijenski certifikat mora biti instaliran na proxyju i na čvorovima hibridne sigurnosti podataka.

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. U implementacijama s eksplicitnim konfiguracijama proxy poslužitelja koje ne dopuštaju vanjsko razrješenje DNS-a za interne klijente, ako čvor ne može postaviti upit DNS poslužiteljima, automatski prelazi u način blokiranog vanjskog razrješenja DNS-a. U ovom načinu rada može se nastaviti registracija čvora i drugi testovi proxy povezivanja.

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Za implementaciju hibridne sigurnosti podataka za više zakupaca:

Partnerske organizacije: Obratite se svom Cisco partneru ili voditelju računa i provjerite je li omogućena značajka Višestruki zakupac.
Organizacije stanara: Morate imati Pro Pack za Cisco Webex Control Hub. (Vidi https://www.cisco.com/go/pro-pack.)

Zahtjevi Docker radne površine

Prije nego što instalirate HDS čvorove, potreban vam je Docker Desktop za pokretanje programa za postavljanje. Docker je nedavno ažurirao svoj model licenciranja. Vaša će organizacija možda zahtijevati plaćenu pretplatu za Docker Desktop. Pojedinosti potražite u postu na Dockerovom blogu "Docker ažurira i proširuje naše pretplate na proizvode".

Korisnici bez Docker Desktop licence mogu koristiti alat za upravljanje kontejnerima otvorenog koda poput Podman Desktopa za pokretanje, upravljanje i stvaranje kontejnera. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Zahtjevi za X.509 certifikat

Lanac certifikata mora ispunjavati sljedeće zahtjeve:

Tablica 1. Zahtjevi za X.509 certifikat za implementaciju hibridne sigurnosti podataka
Uvjet	Pojedinosti
Potpisano od strane pouzdanog tijela za izdavanje certifikata (CA)	Prema zadanim postavkama, vjerujemo CA-ima na Mozillinoj listi (s izuzetkom WoSign-a i StartCom-a) na https://wiki.mozilla.org/CA:IncludedCAs.
Nosi naziv domene Common Name (CN) koji identificira vašu implementaciju Hybrid Data Security Nije zamjenski certifikat	CN ne mora biti dostupan niti mora biti aktivni domaćin. Preporučujemo da koristite naziv koji odražava vašu organizaciju, na primjer, `hds.company.com`. CN ne smije sadržavati * (džoker). CN se koristi za provjeru hibridnih čvorova sigurnosti podataka za klijente Webex aplikacije. Svi hibridni čvorovi sigurnosti podataka u vašem klasteru koriste isti certifikat. Vaš KMS se identificira pomoću CN domene, a ne bilo koje domene definirane u poljima x.509v3 SAN. Nakon što registrirate čvor s ovim certifikatom, ne podržavamo promjenu naziva CN domene.
Potpis koji nije SHA1	KMS softver ne podržava SHA1 potpise za provjeru valjanosti veza s KMS-ovima drugih organizacija.
Formatira se kao PKCS zaštićen lozinkom #12 datoteka Upotrijebite prijateljski naziv `kms-private-key` za označavanje certifikata, privatnog ključa i svih međucertifikata za prijenos.	Za promjenu formata certifikata možete koristiti pretvarač poput OpenSSL-a. Morat ćete unijeti lozinku kada pokrenete alat za postavljanje HDS-a.

KMS softver ne nameće korištenje ključeva ili proširena ograničenja korištenja ključeva. Neki izdavatelji certifikata zahtijevaju da se na svaki certifikat primjenjuju proširena ograničenja korištenja ključeva, kao što je autentifikacija poslužitelja. U redu je koristiti autentifikaciju poslužitelja ili druge postavke.

Zahtjevi za virtualni host

Virtualni hostovi koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru imaju sljedeće zahtjeve:

Najmanje dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru
Instaliran i pokrenut VMware ESXi 7.0 ili 8.0.

Morate nadograditi ako imate stariju verziju ESXi-ja.
Minimalno 4 vCPU-a, 8 GB glavne memorije, 30 GB lokalnog prostora na tvrdom disku po poslužitelju

Zahtjevi poslužitelja baze podataka

Izradite novu bazu podataka za pohranu ključeva. Nemojte koristiti zadanu bazu podataka. HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.

Postoje dvije opcije za poslužitelj baze podataka. Zahtjevi za svaki su sljedeći:

Tablica 2 Zahtjevi poslužitelja baze podataka prema vrsti baze podataka
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 ili 18, instaliran i pokrenut.	Instaliran je SQL Server 2016, 2017, 2019 ili 2022 (Enterprise ili Standard). SQL Server 2016 zahtijeva Service Pack 2 i kumulativno ažuriranje 2 ili noviji.
Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)	Minimalno 8 vCPU-ova, 16 GB glavne memorije, dovoljno prostora na tvrdom disku i nadzor kako bi se osiguralo da se ne prekorači (preporučuje se 2 TB ako želite koristiti bazu podataka dulje vrijeme bez potrebe za povećanjem prostora za pohranu)

HDS softver trenutno instalira sljedeće verzije upravljačkih programa za komunikaciju s poslužiteljem baze podataka:

PostgreSQL

Microsoft SQL Server

Postgres JDBC upravljački program 42.2.5

Upravljački program SQL Server JDBC 4.6

Ova verzija upravljačkog programa podržava SQL Server Always On ( instance klastera Always On Failover i grupe dostupnosti Always On).

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Ako želite da HDS čvorovi koriste Windows autentifikaciju za pristup vašoj bazi podataka spremišta ključeva na Microsoft SQL Serveru, tada vam je potrebna sljedeća konfiguracija u vašem okruženju:

HDS čvorovi, infrastruktura Active Directoryja i MS SQL Server moraju biti sinkronizirani s NTP-om.
Windows račun koji dajete HDS čvorovima mora imati read/write pristup bazi podataka.
DNS poslužitelji koje pružate HDS čvorovima moraju biti u mogućnosti razlučivati vaš Centar za distribuciju ključeva (KDC).
Instancu HDS baze podataka na Microsoft SQL Serveru možete registrirati kao naziv principala usluge (SPN) u Active Directoryju. Pogledajte Registriranje naziva principala usluge za Kerberos veze.

Alat za postavljanje HDS-a, pokretač HDS-a i lokalni KMS moraju koristiti Windows autentifikaciju za pristup bazi podataka spremišta ključeva. Koriste detalje iz vaše ISO konfiguracije za izradu SPN-a prilikom zahtjeva za pristup s Kerberos autentifikacijom.

Zahtjevi za vanjsku povezivost

Konfigurirajte svoj vatrozid kako biste omogućili sljedeću povezivost za HDS aplikacije:

Aplikacija	Protokol	Priključak	Upute iz aplikacije	Odredište
Hibridni čvorovi za sigurnost podataka	TCP	443	Odlazni HTTPS i WSS	Webex serveri: .wbx2.com .ciscospark.com Svi hostovi za zajednički identitet Ostali URL-ovi koji su navedeni za hibridnu sigurnost podataka u tablici Dodatni URL-ovi za Webex hibridne usluge u odjeljku Mrežni zahtjevi za Webex usluge
Alat za postavljanje HDS-a	TCP	443	Odlazni HTTPS	*.wbx2.com Svi hostovi za zajednički identitet hub.docker.com

Čvorovi hibridne sigurnosti podataka rade s prevođenjem mrežnog pristupa (NAT) ili iza vatrozida, sve dok NAT ili vatrozid dopuštaju potrebne izlazne veze s odredištima domene u prethodnoj tablici. Za veze koje idu prema čvorovima Hybrid Data Security, nijedan port ne bi trebao biti vidljiv s interneta. Unutar vašeg podatkovnog centra, klijentima je potreban pristup čvorovima Hybrid Data Security na TCP portovima 443 i 22 u administrativne svrhe.

URL-ovi za hostove Common Identity (CI) specifični su za regiju. Ovo su trenutni CI hostovi:

Regija	Uobičajeni URL-ovi hosta za identitet
Južna i Sjeverna Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europska unija	https://idbroker-eu.webex.com https://identity-eu.webex.com
Kanada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapur	https://idbroker-sg.webex.com https://identity-sg.webex.com
Ujedinjeni Arapski Emirati	https://idbroker-ae.webex.com https://identity-ae.webex.com

Preduvjeti proxy poslužitelja

Službeno podržavamo sljedeća proxy rješenja koja se mogu integrirati s vašim hibridnim čvorovima sigurnosti podataka.
- Prozirni proxy – Cisco Web Security Appliance (WSA).
- Eksplicitni proxy – lignje.
  
  Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocketa (wss:) veze. Za rješavanje ovog problema pogledajte Konfiguriranje Squid proxyja za hibridnu sigurnost podataka.
Podržavamo sljedeće kombinacije vrsta provjere autentičnosti za eksplicitne opune:
- Nema provjere autentičnosti s HTTP ili HTTPS-om
- Osnovna provjera autentičnosti s HTTP ili HTTPS-om
- Probavi provjeru autentičnosti samo s HTTPS-om
Za prozirni proxy za provjeru ili HTTPS eksplicitni proxy morate imati kopiju korijenskog certifikata proxy poslužitelja. Upute za implementaciju u ovom vodiču govore vam kako prenijeti kopiju u spremišta pouzdanih čvorova hibridne sigurnosti podataka.
Mreža na kojoj se nalaze HDS čvorovi mora biti konfigurirana tako da prisiljava odlazni TCP promet na priključku 443 za usmjeravanje kroz proxy.
Opunomoćenici koji pregledavaju web promet mogu ometati priključke web utičnica. Ako se pojavi ovaj problem, zaobilaženje (nepregled) prometa prema wbx2.com i ciscospark.com riješit će problem.

Ispunite preduvjete za hibridnu sigurnost podataka

Pomoću ovog kontrolnog popisa provjerite jeste li spremni za instalaciju i konfiguraciju svog hibridnog klastera sigurnosti podataka.

1	Provjerite ima li vaša partnerska organizacija omogućenu značajku Multi-Tenant HDS i nabavite vjerodajnice računa s punim administratorskim pravima partnera i punim administratorskim pravima. Provjerite je li vaša Webex korisnička organizacija omogućena za Pro Pack za Cisco Webex Control Hub. Za pomoć u vezi s ovim postupkom obratite se svom Cisco partneru ili voditelju računa. Organizacije korisnika ne bi smjele imati nikakvu postojeću implementaciju HDS-a.
2	Odaberite naziv domene za svoju HDS implementaciju (na primjer, `hds.company.com`) i nabavite lanac certifikata koji sadrži X.509 certifikat, privatni ključ i sve međucertifikate. Lanac certifikata mora ispunjavati zahtjeve u X.509 Zahtjevi za certifikat.
3	Pripremite identične virtualne hostove koje ćete postaviti kao hibridne čvorove sigurnosti podataka u svom klasteru. Potrebna su vam barem dva odvojena hosta (preporučuje se 3) smještena u istom sigurnom podatkovnom centru, koji ispunjavaju uvjete u Zahtjevi za virtualni host.
4	Pripremite poslužitelj baze podataka koji će djelovati kao ključno spremište podataka za klaster, prema zahtjevima poslužitelja baze podataka. Poslužitelj baze podataka mora biti smješten u sigurnom podatkovnom centru s virtualnim hostovima. Izradite bazu podataka za pohranu ključeva. (Morate stvoriti ovu bazu podataka—nemojte koristiti zadanu bazu podataka.) HDS aplikacije, kada se instaliraju, stvaraju shemu baze podataka.) Prikupite detalje koje će čvorovi koristiti za komunikaciju s poslužiteljem baze podataka: naziv hosta ili IP adresa (host) i port naziv baze podataka (dbname) za pohranu ključeva korisničko ime i lozinka korisnika sa svim privilegijama na bazi podataka za pohranu ključeva
5	Za brzi oporavak od katastrofe, postavite sigurnosno okruženje u drugom podatkovnom centru. Okruženje za sigurnosne kopije odražava produkcijsko okruženje virtualnih strojeva i poslužitelja sigurnosne kopije baze podataka. Na primjer, ako produkcija ima 3 virtualna računala koja pokreću HDS čvorove, sigurnosno okruženje treba imati 3 virtualna računala.
6	Postavite syslog host za prikupljanje logova s čvorova u klasteru. Prikupite njegovu mrežnu adresu i syslog port (zadano je UDP 514).
7	Izradite sigurnu politiku sigurnosnog kopiranja za čvorove Hybrid Data Security, poslužitelj baze podataka i host syslog-a. Kao minimum, kako biste spriječili nepovratan gubitak podataka, morate napraviti sigurnosnu kopiju baze podataka i konfiguracijske ISO datoteke generirane za čvorove Hybrid Data Security. Budući da hibridni čvorovi sigurnosti podataka pohranjuju ključeve koji se koriste za šifriranje i dešifriranje sadržaja, neuspjeh u održavanju operativne implementacije rezultirat će NEPOVRATNIM GUBITKOM tog sadržaja. Klijenti Webex aplikacije pohranjuju svoje ključeve u predmemoriju, tako da prekid rada možda neće biti odmah uočljiv, ali će postati očit s vremenom. Iako je privremene prekide nemoguće spriječiti, oni se mogu nadoknaditi. Međutim, potpuni gubitak (bez dostupnih sigurnosnih kopija) baze podataka ili konfiguracijske ISO datoteke rezultirat će nepovratnim podacima korisnika. Očekuje se da će operateri čvorova Hybrid Data Security održavati česte sigurnosne kopije baze podataka i ISO datoteke konfiguracije te biti spremni ponovno izgraditi podatkovni centar Hybrid Data Security ako dođe do katastrofalnog kvara.
8	Osigurajte da konfiguracija vašeg vatrozida omogućuje povezivanje vaših hibridnih čvorova sigurnosti podataka kako je navedeno u Zahtjevi za vanjsku povezivost.
9	Instalirajte Docker ( https://www.docker.com) na bilo koje lokalno računalo s podržanim operativnim sustavom (Microsoft Windows 10 Professional ili Enterprise 64-bit ili Mac OSX Yosemite 10.10.3 ili noviji) s web preglednikom koji mu može pristupiti na http://127.0.0.1:8080. Docker instancu koristite za preuzimanje i pokretanje HDS Setup Toola, koji izrađuje lokalne konfiguracijske podatke za sve Hybrid Data Security čvorove. Možda će vam trebati Docker Desktop licenca. Za više informacija pogledajte Zahtjevi za Docker Desktop. Za instalaciju i pokretanje HDS Setup Tool-a, lokalno računalo mora imati povezivost opisanu u Zahtjevi za vanjsku povezivost.
10	Ako integrirate proxy s Hybrid Data Security, provjerite ispunjava li zahtjeve za proxy poslužitelj.

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Prije početka

1	Izvršite početno postavljanje i preuzmite instalacijske datoteke Preuzmite OVA datoteku na svoje lokalno računalo za kasniju upotrebu.
2	Izradite ISO konfiguraciju za HDS hostove Pomoću alata za postavljanje HDS-a stvorite ISO konfiguracijsku datoteku za čvorove Hybrid Data Security.
3	Instalirajte HDS Host OVA Iz OVA datoteke stvorite virtualni stroj i izvršite početnu konfiguraciju, kao što su mrežne postavke. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
4	Postavljanje virtualnog stroja za hibridnu sigurnost podataka Prijavite se u VM konzolu i postavite vjerodajnice za prijavu. Konfigurirajte mrežne postavke za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.
5	Prenesite i montirajte ISO datoteku konfiguracije HDS-a Konfigurirajte VM iz ISO konfiguracijske datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.
6	Konfiguriranje HDS čvora za integraciju proxy poslužitelja Ako mrežno okruženje zahtijeva konfiguraciju proxyja, odredite vrstu proxyja koju ćete koristiti za čvor i po potrebi dodajte proxy certifikat u pohranu podataka.
7	Registrirajte prvi čvor u klasteru Registrirajte virtualni stroj u Cisco Webex oblaku kao hibridni čvor za sigurnost podataka.
8	Stvorite i registrirajte više čvorova Dovršite postavljanje klastera.
9	Aktivirajte Multi-Tenant HDS na Partner Hubu. Aktivirajte HDS i upravljajte organizacijama zakupaca na Partner Hubu.

Izvršite početno postavljanje i preuzmite instalacijske datoteke

U ovom zadatku preuzimate OVA datoteku na svoje računalo (ne na poslužitelje koje ste postavili kao čvorove Hybrid Data Security). Ovu datoteku koristite kasnije u procesu instalacije.

1	Prijavite se u Partner Hub, a zatim kliknite Usluge.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka, a zatim kliknite Postavi. Klikanje na Postavi u Partner Hubu ključno je za proces implementacije. Ne nastavljajte s instalacijom bez dovršetka ovog koraka.
3	Kliknite Dodaj resurs i kliknite Preuzmi .OVA datoteku na kartici Instaliraj i konfiguriraj softver. Starije verzije softverskog paketa (OVA) neće biti kompatibilne s najnovijim nadogradnjama Hybrid Data Securityja. To može uzrokovati probleme prilikom nadogradnje aplikacije. Obavezno preuzmite najnoviju verziju OVA datoteke. OVA možete preuzeti i u bilo kojem trenutku iz odjeljka Pomoć. Kliknite Postavke > Pomoć > Preuzmite hibridni softver za sigurnost podataka. Preuzimanje OVA datoteke automatski počinje. Spremite datoteku na lokaciju na vašem računalu.

Izradite ISO konfiguraciju za HDS hostove

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1 do 5 u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5 u nastavku. Ova tablica daje neke moguće varijable okoliša:

Opis

Varijabla

HTTP proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS proxy bez provjere autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS proxy s provjerom autentičnosti

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

1

Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje:

U redovitim okruženjima:

docker rmi ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker rmi ciscocitg/hds-setup-fedramp:stable

Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.

2

Da biste se prijavili u Dockerov registar slika, unesite sljedeće:

docker login -u hdscustomersro

3

Na upit za zaporku unesite ovaj hash:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Preuzmite najnoviju stabilnu sliku za svoje okruženje:

U redovitim okruženjima:

docker pull ciscocitg/hds-setup:stable

U FedRAMP okruženjima:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje:

U uobičajenim okruženjima bez punomoćnika:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

U uobičajenim okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U redovnim okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

U FedRAMP okruženjima bez proxyja:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTP proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

U FedRAMP okruženjima s HTTPS proxyjem:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

6

Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom.

Pomoću web preglednika posjetite localhost, http://127.0.0.1:8080, i unesite korisničko ime administratora za Partner Hub u upit.

Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.

7

Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.

8

Na stranici s pregledom alata za postavljanje kliknite Početak rada.

9

Na stranici Uvoz ISO-a imate sljedeće mogućnosti:

Ne— Ako stvarate svoj prvi HDS čvor, nemate ISO datoteku za prijenos.
Da— Ako ste već stvorili HDS čvorove, odaberite svoju ISO datoteku u pregledniku i prenesite je.

10

Provjerite ispunjava li vaš X.509 certifikat zahtjeve u X.509 zahtjevima za certifikat.

Ako nikada prije niste prenijeli certifikat, prenesite X.509 certifikat, unesite lozinku i kliknite Nastavi.
Ako je vaš certifikat u redu, kliknite Nastavi.
Ako je vaš certifikat istekao ili ga želite zamijeniti, odaberite Ne za Nastaviti koristiti HDS lanac certifikata i privatni ključ iz prethodnog ISO-a?. Prenesite novi X.509 certifikat, unesite lozinku i kliknite Nastavi.

11

Unesite adresu baze podataka i račun za HDS kako biste pristupili svom ključnom spremištu podataka:

Odaberite vrstu baze podataka (PostgreSQL ili Microsoft SQL Server).

Ako odaberete Microsoft SQL Server, dobit ćete polje Vrsta provjere autentičnosti.
(samo za Microsoft SQL Server ) Odaberite svoju vrstu provjere autentičnosti:
- Osnovna autentifikacija: U polju Korisničko ime potrebno je navesti naziv lokalnog SQL Server računa.
- Provjera autentičnosti sustava Windows: U polju Korisničko ime potreban vam je Windows račun u formatu username@DOMAIN ].
Unesite adresu poslužitelja baze podataka u obliku : ili :.

Primjer:
dbhost.example.org:1433 ili 198.51.100.17:1433

Možete koristiti IP adresu za osnovnu autentifikaciju ako čvorovi ne mogu koristiti DNS za razrješavanje naziva hosta.

Ako koristite Windows provjeru autentičnosti, morate unijeti potpuno kvalificirani naziv domene u formatu dbhost.example.org:1433
Unesite Naziv baze podataka.
Unesite korisničko ime i lozinku korisnika sa svim privilegijama na bazi podataka za pohranu ključeva.

12

Odaberite TLS način povezivanja s bazom podataka:

Način rada	Opis
Preferiraj TLS (zadana opcija)	HDS čvorovi ne zahtijevaju TLS za povezivanje s poslužiteljem baze podataka. Ako omogućite TLS na poslužitelju baze podataka, čvorovi će pokušati šifriranu vezu.
Zahtijevaj TLS	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u.
Zahtijevajte TLS i potvrdite potpisnika certifikata	Ovaj način rada nije primjenjiv za SQL Server baze podataka. HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.
Zahtijevajte TLS i potvrdite potpisnika certifikata i naziv domaćina	HDS čvorovi se spajaju samo ako poslužitelj baze podataka može pregovarati o TLS-u. Nakon uspostavljanja TLS veze, čvor uspoređuje potpisnika certifikata s poslužitelja baze podataka s autoritetom certifikata u korijenskom certifikatu baze podataka. Ako se ne podudaraju, čvor prekida vezu. Čvorovi također provjeravaju podudara li se naziv hosta u certifikatu poslužitelja s nazivom hosta u polju Host i port baze podataka. Imena se moraju točno podudarati ili čvor prekida vezu. Koristite kontrolu korijenskog certifikata baze podataka ispod padajućeg izbornika za učitavanje korijenskog certifikata za ovu opciju.

Kada prenesete korijenski certifikat (ako je potrebno) i kliknete Nastavi, alat za postavljanje HDS-a testira TLS vezu s poslužiteljem baze podataka. Alat također potvrđuje potpisnika certifikata i naziv domaćina, ako je primjenjivo. Ako test ne uspije, alat prikazuje poruku o pogrešci koja opisuje problem. Možete odabrati želite li zanemariti pogrešku i nastaviti s podešavanjem. (Zbog razlika u povezivosti, HDS čvorovi bi mogli uspostaviti TLS vezu čak i ako je HDS Setup Tool ne može uspješno testirati.)

13

Na stranici Sistemski zapisnici konfigurirajte svoj Syslogd poslužitelj:

Unesite URL syslog poslužitelja.

Ako poslužitelj nije DNS-razlučiv s čvorova za vaš HDS klaster, upotrijebite IP adresu u URL-u.

Primjer:
udp://10.92.43.23:514 označava zapisivanje na Syslogd host 10.92.43.23 na UDP portu 514.
Ako ste postavili svoj poslužitelj za korištenje TLS enkripcije, provjerite Je li vaš poslužitelj konfiguriran za TLS pregovore/rukovanje?.

Ako označite ovaj potvrdni okvir, provjerite jeste li unijeli TCP URL kao što je tcp://10.92.43.23:514i prenijeli korijenski certifikat sysloga.
Iz padajućeg izbornika Odaberi prekid zapisa syslog odaberite odgovarajuću postavku za svoju ISO datoteku: Za Graylog i Rsyslog TCP koristi se Choose ili Newline
- Nulti bajt -- \x00
- Novi redak -- \n—Odaberite ovu opciju za Graylog i Rsyslog TCP.
Kliknite na Nastavi.

14

(Neobavezno) Zadanu vrijednost za neke parametre veze s bazom podataka možete promijeniti u Naprednim postavkama. Općenito, ovaj parametar je jedini koji biste možda htjeli promijeniti:

app_datasource_connection_pool_maxSize: 10

15

Kliknite Nastavi na zaslonu Poništi lozinku servisnih računa.

Lozinke za servisne račune imaju rok trajanja od devet mjeseci. Koristite ovaj zaslon kada se bliži istek lozinki ili ih želite resetirati kako biste poništili prethodne ISO datoteke.

16

Kliknite Preuzmi ISO datoteku. Spremite datoteku na mjesto koje je lako pronaći.

17

Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu.

Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.

18

Za zatvaranje alata za postavljanje upišite CTRL+C.

Što učiniti sljedeće

Napravite sigurnosnu kopiju ISO datoteke konfiguracije. Trebate ga za stvaranje više čvorova za oporavak ili za promjene konfiguracije. Ako izgubite sve kopije ISO datoteke, izgubili ste i glavni ključ. Oporavak ključeva iz vaše PostgreSQL ili Microsoft SQL Server baze podataka nije moguć.

Nikada nemamo kopiju ovog ključa i ne možemo vam pomoći ako ga izgubite.

Instalirajte HDS Host OVA

Pomoću ovog postupka stvorite virtualni stroj iz OVA datoteke.

1	Za prijavu na ESXi virtualni host koristite VMware vSphere klijent na svom računalu.
2	Odaberite Datoteka > Implementiraj OVF predložak.
3	U čarobnjaku odredite lokaciju OVA datoteke koju ste ranije preuzeli, a zatim kliknite Dalje.
4	Na stranici Odaberite naziv i mapu unesite naziv virtualnog stroja za čvor (na primjer, "HDS_Node_1"), odaberite lokaciju na kojoj se može nalaziti implementacija čvora virtualnog stroja, a zatim kliknite Dalje.
5	Na stranici Odaberite računalni resurs odaberite odredišni računalni resurs, a zatim kliknite Dalje. Izvodi se provjera validacije. Nakon završetka, prikazuju se detalji predloška.
6	Provjerite detalje predloška, a zatim kliknite Dalje.
7	Ako se od vas zatraži da odaberete konfiguraciju resursa na stranici Konfiguracija, kliknite 4 CPU, a zatim kliknite Dalje.
8	Na stranici Odaberi pohranu ] kliknite Dalje da biste prihvatili zadani format diska i pravila pohrane virtualnog stroja.
9	Na stranici Odaberi mreže odaberite mrežnu opciju s popisa unosa kako biste osigurali željenu povezivost s virtualnim računalom.
10	Na stranici Prilagodi predložak konfigurirajte sljedeće mrežne postavke: Naziv hosta— Unesite FQDN (naziv hosta i domenu) ili naziv hosta od jedne riječi za čvor. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata. Kako biste osigurali uspješnu registraciju u oblaku, koristite samo mala slova u FQDN-u ili nazivu hosta koji ste postavili za čvor. Velika slova trenutno nisu podržana. Ukupna duljina FQDN-a ne smije biti veća od 64 znaka. IP adresa— Unesite IP adresu za interno sučelje čvora. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan. Maska— Unesite adresu maske podmreže u točkasto-decimalnom zapisu. Na primjer, 255.255.255.0. Pristupnik— Unesite IP adresu pristupnika. Pristupnik je mrežni čvor koji služi kao pristupna točka drugoj mreži. DNS poslužitelji— Unesite popis DNS poslužitelja odvojenih zarezima koji obrađuju prevođenje naziva domena u numeričke IP adrese. (Dopuštena su do 4 DNS unosa.) NTP poslužitelji— Unesite NTP poslužitelj vaše organizacije ili neki drugi vanjski NTP poslužitelj koji se može koristiti u vašoj organizaciji. Zadani NTP poslužitelji možda neće raditi za sva poduzeća. Također možete koristiti popis odvojen zarezima za unos više NTP poslužitelja. Postavite sve čvorove na istu podmrežu ili VLAN, tako da svi čvorovi u klasteru budu dostupni klijentima u vašoj mreži u administrativne svrhe. Ako želite, možete preskočiti konfiguraciju mrežnih postavki i slijediti korake u Postavljanje virtualnog stroja za sigurnost hibridnih podataka za konfiguriranje postavki s konzole čvora. Mogućnost konfiguriranja mrežnih postavki tijekom implementacije OVA testirana je s ESXi 7.0 i 8.0. Opcija možda nije dostupna u ranijim verzijama.
11	Desnom tipkom miša kliknite čvor VM-a, a zatim odaberite Napajanje > Uključivanje. Softver za hibridnu sigurnost podataka instaliran je kao gost na VM hostu. Sada ste spremni prijaviti se u konzolu i konfigurirati čvor. Savjeti za otklanjanje poteškoća Može doći do kašnjenja od nekoliko minuta prije nego što se kontejneri čvorova pojave. Poruka o zaštitnom zidu mosta pojavljuje se na konzoli tijekom prvog pokretanja, tijekom kojeg se ne možete prijaviti.

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Pomoću ovog postupka prvi put se prijavite na konzolu virtualnog stroja čvora Hybrid Data Security i postavite vjerodajnice za prijavu. Također možete koristiti konzolu za konfiguriranje mrežnih postavki za čvor ako ih niste konfigurirali prilikom implementacije OVA-e.

1	U VMware vSphere klijentu odaberite svoj VM čvor Hybrid Data Security i odaberite karticu Console. VM se pokreće i pojavljuje se prompt za prijavu. Ako se upit za prijavu ne prikaže, pritisnite Enter.
2	Za prijavu i promjenu vjerodajnica koristite sljedeće zadane podatke za prijavu i lozinku: Prijava: `admin` Lozinka: `ciscosystems` Budući da se prvi put prijavljujete na svoj virtualni stroj, potrebno je promijeniti administratorsku lozinku.
3	Ako ste već konfigurirali mrežne postavke u Instalirajte HDS Host OVA, preskočite ostatak ovog postupka. U suprotnom, u glavnom izborniku odaberite opciju Uredi konfiguraciju.
4	Postavite statičku konfiguraciju s IP adresom, maskom, pristupnikom i DNS informacijama. Vaš čvor treba imati internu IP adresu i DNS naziv. DHCP nije podržan.
5	(Neobavezno) Po potrebi promijenite naziv hosta, domenu ili NTP poslužitelj(e) kako bi odgovarali vašim mrežnim pravilima. Ne morate postaviti domenu tako da odgovara domeni koju ste koristili za dobivanje X.509 certifikata.
6	Spremite mrežnu konfiguraciju i ponovno pokrenite virtualni stroj kako bi promjene stupile na snagu.

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Pomoću ovog postupka konfigurirajte virtualni stroj iz ISO datoteke koju ste stvorili pomoću alata za postavljanje HDS-a.

Prije početka

Budući da ISO datoteka sadrži glavni ključ, trebala bi biti dostupna samo onima koji joj "trebaju pristupiti", odnosno virtualnim strojevima za sigurnost hibridnih podataka i administratorima koji bi možda trebali napraviti promjene. Pobrinite se da samo ti administratori mogu pristupiti spremištu podataka.

1

Prenesite ISO datoteku s računala:

U lijevom navigacijskom oknu VMware vSphere klijenta kliknite na ESXi poslužitelj.
Na popisu hardvera na kartici Konfiguracija kliknite Pohrana.
Na popisu spremišta podataka desnom tipkom miša kliknite spremište podataka za svoje virtualne strojeve i kliknite Pregledaj spremište podataka.
Kliknite ikonu Prenesi datoteku, a zatim kliknite Prenesi datoteku.
Potražite lokaciju na računalu gdje ste preuzeli ISO datoteku i kliknite Otvori.
Kliknite Da za prihvaćanje upload/download upozorenje o operaciji i zatvorite dijalog spremišta podataka.

2

Montirajte ISO datoteku:

U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke.
Kliknite U redu kako biste prihvatili upozorenje o ograničenim mogućnostima uređivanja.
Kliknite CD/DVD Drive 1, odaberite opciju montiranja iz ISO datoteke spremišta podataka i pronađite lokaciju na koju ste prenijeli ISO datoteku konfiguracije.
Provjerite Spojeno i Spoji se pri uključivanju.
Spremite promjene i ponovno pokrenite virtualni stroj.

Što učiniti sljedeće

Ako vaša IT politika to zahtijeva, možete opcionalno odmontirati ISO datoteku nakon što svi vaši čvorovi prihvate promjene konfiguracije. Pogledajte (Neobavezno) Odmontiranje ISO-a nakon konfiguracije HDS-a za detalje.

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Ako mrežno okruženje zahtijeva proxy, pomoću ovog postupka odredite vrstu proxy poslužitelja koju želite integrirati s hibridnom sigurnošću podataka. Ako odaberete prozirni proxy za provjeru ili HTTPS eksplicitni proxy, možete koristiti sučelje čvora za prijenos i instaliranje korijenskog certifikata. Također možete provjeriti proxy vezu sa sučelja i otkloniti sve potencijalne probleme.

Prije nego što počnete

Pregled podržanih mogućnosti proxy poslužitelja potražite u članku Podrška za proxy poslužitelje.
Preduvjeti proxy poslužitelja

1	Unesite URL za postavljanje HDS čvora `https://[HDS Node IP or FQDN]/setup` u web preglednik, unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Otvorite Spremište pouzdanosti & proxy, a zatim odaberite mogućnost: Bez proxyja—Zadana opcija prije integracije proxyja. Ažuriranje certifikata nije potrebno. Transparentni neinspektirajući proxy— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja i ne bi trebali zahtijevati nikakve promjene za rad s neinspektirajućim proxyjem. Ažuriranje certifikata nije potrebno. Transparentni pregled proxyja— Čvorovi nisu konfigurirani za korištenje određene adrese proxy poslužitelja. Na implementaciji hibridne sigurnosti podataka nisu potrebne promjene HTTPS konfiguracije, međutim, HDS čvorovi trebaju korijenski certifikat kako bi vjerovali proxyju. It obično koristi pregled opunomoćenicima za provođenje pravila o tome koje se web stranice mogu posjetiti i koje vrste sadržaja nisu dopuštene. Ova vrsta proxy poslužitelja dešifrira sav vaš promet (čak i HTTPS). Eksplicitni proxy— S eksplicitnim proxyjem, klijentu (HDS čvorovima) govorite koji proxy poslužitelj treba koristiti, a ova opcija podržava nekoliko vrsta autentifikacije. Kada odaberete ovu mogućnost, morate unijeti sljedeće podatke: Proxy IP/FQDN—Adresa koja se može koristiti za pristup proxy računalu. Proxy port—Broj porta koji proxy koristi za osluškivanje proxy prometa. Proxy protokol— Odaberite http (pregledava i kontrolira sve zahtjeve primljene od klijenta) ili https (omogućuje kanal poslužitelju, a klijent prima i provjerava certifikat poslužitelja). Odaberite mogućnost na temelju onoga što podržava proxy poslužitelj. Vrsta provjere autentičnosti— Odaberite jednu od sljedećih vrsta provjere autentičnosti: Ništa—Nije potrebna daljnja provjera autentičnosti. Dostupno za HTTP ili HTTPS opune. Osnovno— Koristi se za HTTP korisnički agent kako bi pružio korisničko ime i lozinku prilikom slanja zahtjeva. Koristi Base64 kodiranje. Dostupno za HTTP ili HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Sažetak—Koristi se za potvrdu računa prije slanja osjetljivih informacija. Primjenjuje funkciju hasha na korisničko ime i lozinku prije slanja putem mreže. Dostupno samo za HTTPS opune. Ako odaberete ovu mogućnost, morate unijeti i korisničko ime i lozinku. Slijedite sljedeće korake za transparentni proxy za provjeru, HTTP eksplicitni proxy s osnovnom provjerom autentičnosti ili HTTPS eksplicitni proxy.
3	Kliknite Prenesi korijenski certifikat ili certifikat krajnjeg entiteta, a zatim pronađite korijenski certifikat za proxy. Certifikat je prenesen, ali još nije instaliran jer morate ponovno pokrenuti čvor da biste instalirali certifikat. Kliknite strelicu ševrona pod nazivom izdavatelja certifikata da biste dobili više pojedinosti ili kliknite Izbriši ako ste pogriješili i želite ponovno učitati datoteku.
4	Kliknite Provjeri proxy vezu da biste testirali mrežnu vezu između čvora i proxy poslužitelja. Ako test veze ne uspije, prikazat će se poruka o pogrešci koja prikazuje razlog i način na koji možete ispraviti problem. Ako vam se prikaže poruka da vanjska DNS razlučivost nije uspjela, čvor nije mogao doći do DNS poslužitelja. Ovaj se uvjet očekuje u mnogim eksplicitnim konfiguracijama proxy poslužitelja. Možete nastaviti s postavljanjem, a čvor će funkcionirati u načinu rada blokiranog vanjskog DNS rezolucije. Ako mislite da je ovo pogreška, dovršite ove korake, a zatim pogledajte Isključivanje načina rješavanja blokiranog vanjskog DNS-a.
5	Nakon što prođe test povezivanja, za eksplicitni proxy postavljen samo na https, uključite preklopni gumb na Route all port 443/444 https zahtjeve iz ovog čvora putem eksplicitnog proxyja. Ova postavka zahtijeva 15 sekundi da stupi na snagu.
6	Kliknite Instaliraj sve certifikate u spremište pouzdanosti (pojavljuje se za HTTPS eksplicitni proxy ili prozirni proxy za provjeru) ili Ponovno pokretanje (pojavljuje se za HTTP eksplicitni proxy), pročitajte upit, a zatim kliknite Instaliraj ako ste spremni. Čvor se ponovno pokreće za nekoliko minuta.
7	Nakon ponovnog pokretanja čvora ponovno se prijavite ako je potrebno, a zatim otvorite stranicu Pregled da biste provjerili provjere povezivosti da biste provjerili jesu li svi u zelenom statusu. Provjera proxy veze testira samo poddomenu webex.com. Ako postoje problemi s povezivanjem, čest je problem u tome što se neke domene u oblaku navedene u uputama za instalaciju blokiraju na proxyju.

Registrirajte prvi čvor u klasteru

Ovaj zadatak uzima generički čvor koji ste stvorili u Postavljanje virtualnog stroja za hibridnu sigurnost podataka, registrira čvor u Webex oblaku i pretvara ga u čvor za hibridnu sigurnost podataka.

Kada registrirate svoj prvi čvor, stvarate klaster kojem je čvor dodijeljen. Klaster sadrži jedan ili više čvorova raspoređenih radi osiguranja redundancije.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
4	Na stranici koja se otvori kliknite Dodaj resurs.
5	U prvo polje kartice Stvori novi klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
6	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
7	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
8	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku.
9	Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.

Stvorite i registrirajte više čvorova

Za dodavanje dodatnih čvorova u klaster, jednostavno stvorite dodatne virtualne strojeve i montirajte istu ISO datoteku konfiguracije, a zatim registrirajte čvor. Preporučujemo da imate barem 3 čvora.

Prije početka

Nakon što započnete registraciju čvora, morate je dovršiti unutar 60 minuta ili morate početi ispočetka.
Provjerite jesu li u vašem pregledniku onemogućeni svi blokatori skočnih prozora ili jeste li omogućili iznimku za admin.webex.com.

1	Iz OVA-e stvorite novi virtualni stroj ponavljajući korake u Instalirajte HDS Host OVA.
2	Postavite početnu konfiguraciju na novom virtualnom stroju ponavljajući korake u Postavljanje hibridnog virtualnog stroja za sigurnost podataka.
3	Na novom virtualnom stroju ponovite korake u Prijenos i montiranje ISO datoteke konfiguracije HDS-a.
4	Ako postavljate proxy za svoju implementaciju, ponovite korake u Konfigurirajte HDS čvor za integraciju proxyja prema potrebi za novi čvor.
5	Registrirajte čvor. U https://admin.webex.comodaberite Usluge iz izbornika na lijevoj strani zaslona. U odjeljku Hibrid pronađite karticu Sigurnost hibridnih podataka i kliknite Prikaži sve. Pojavit će se stranica Resursi za hibridnu sigurnost podataka. Novostvoreni klaster pojavit će se na stranici Resursi. Kliknite na klaster za pregled čvorova dodijeljenih klasteru. Kliknite Dodaj čvor na desnoj strani zaslona. Unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj. Otvara se stranica s porukom da možete registrirati svoj čvor u Webex oblaku. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj organizaciji za pristup vašem čvoru. Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Kliknite poveznicu ili zatvorite karticu da biste se vratili na stranicu Sigurnost hibridnih podataka u Partner Hubu. Čvor dodan skočna poruka također se pojavljuje na dnu zaslona u Partner Hubu. Vaš čvor je registriran.

Što učiniti sljedeće

Za stvaranje dodatnih klastera prijavite se u Partner Hub i kliknite Usluge > Hibridna sigurnost podataka > Prikaži sve > Dodaj klaster. Slijedite korake opisane u gornjem odjeljku kako biste dodali prvi čvor dodatnom klasteru ili klasterima.

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Ovaj zadatak osigurava da svi korisnici organizacija klijenata mogu početi koristiti HDS za lokalne ključeve za šifriranje i druge sigurnosne usluge.

Prije početka

Provjerite jeste li dovršili postavljanje svog Multi-Tenant HDS klastera s potrebnim brojem čvorova.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke.
4	Kliknite Aktiviraj HDS na kartici Status HDS-a.

Dodajte organizacije zakupaca u Partner Hub

U ovom zadatku dodjeljujete organizacije korisnika svom hibridnom klasteru sigurnosti podataka.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Idite na karticu Dodijeljeni korisnici. Kartica Dodijeljeni korisnici neće se prikazati dok ne stvorite klaster.
5	Kliknite Dodaj korisnike.
6	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
7	Kliknite Dodaj, korisnik će biti dodan u klaster.
8	Ponovite korake od 5 do 7 da biste dodali više korisnika u svoj klaster.
9	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce. Dodani korisnici bit će sinkronizirani u svim dostupnim klasterima.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Prije početka

Dodijelite kupce kako je detaljno opisano u Dodavanje organizacija zakupaca u Partner Hub. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak postavljanja za novododane organizacije korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je. Osigurajte povezivost s bazom podataka kako biste mogli upravljati CMK-om.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Stvori CMK za sve ORG-ove ili Stvori CMK - Kliknite na ovaj gumb na banneru na vrhu zaslona za stvaranje CMK-ova za sve novododane organizacije. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Stvori CMK-ove za stvaranje CMK-ova za sve novododane organizacije. Kliknite pored statusa čekanja upravljanja CMK-om za određenu organizaciju u tablici i kliknite Izradi CMK za izradu CMK-a za tu organizaciju.
12	Nakon što je stvaranje CMK-a uspješno, status u tablici će se promijeniti iz upravljanje CMK-om na čekanju u upravljano CMK-om.
13	Ako stvaranje CMK-a nije uspješno, prikazat će se greška.

Uklonite organizacije stanara

Prije početka

Nakon uklanjanja, korisnici korisničkih organizacija neće moći koristiti HDS za svoje potrebe šifriranja i izgubit će sve postojeće prostore. Prije uklanjanja organizacija korisnika, obratite se svom Cisco partneru ili voditelju računa.

1	Prijavite se na https://admin.webex.com.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Prikaži sve.
4	Na stranici koja se otvori kliknite karticu Dodijeljeni kupci.
5	S popisa prikazanih organizacija korisnika kliknite s desne strane organizacije korisnika koju želite ukloniti i kliknite Ukloni iz klastera.

Što učiniti sljedeće

Dovršite postupak uklanjanja opozivom CMK-ova organizacija korisnika kako je detaljno opisano u Opoziv CMK-ova stanara uklonjenih iz HDS-a.

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Prije početka

Uklonite korisnike kako je detaljno opisano u Uklonite organizacije zakupaca. Pokrenite alat za postavljanje HDS-a kako biste dovršili postupak uklanjanja uklonjenih organizacija korisnika.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima za vašu organizaciju.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada napravite promjene konfiguracije, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".
6	Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Pomoću web preglednika posjetite localhost, `http://127.0.0.1:8080`, i unesite korisničko ime administratora za Partner Hub u upit. Alat koristi ovaj prvi unos korisničkog imena za postavljanje odgovarajućeg okruženja za taj račun. Alat zatim prikazuje standardni upit za prijavu.
7	Kada se to od vas zatraži, unesite svoje administratorske vjerodajnice za prijavu u Partner Hub, a zatim kliknite Prijava kako biste omogućili pristup potrebnim uslugama za Hybrid Data Security.
8	Na stranici s pregledom alata za postavljanje kliknite Početak rada.
9	Na stranici Uvoz ISO-a kliknite Da.
10	Odaberite svoju ISO datoteku u pregledniku i prenesite je.
11	Idite na karticu Upravljanje CMK-ovima najmoprimaca, gdje ćete pronaći sljedeća tri načina upravljanja CMK-ovima najmoprimaca. Poništi CMK za sve ORG-ove ili Poništi CMK - Kliknite na ovaj gumb na banneru pri vrhu zaslona kako biste poništili CMK-ove svih uklonjenih organizacija. Kliknite gumb Upravljanje CMK-ovima na desnoj strani zaslona i kliknite Poništi CMK-ove da biste poništili CMK-ove svih uklonjenih organizacija. Kliknite blizu statusa CMK koji treba opozvati za određenu organizaciju u tablici i kliknite Poništi CMK da biste opozvali CMK za tu određenu organizaciju.
12	Nakon što je opoziv CMK-a uspješan, organizacija korisnika više se neće prikazivati u tablici.
13	Ako opoziv CMK-a nije uspješan, prikazat će se pogreška.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Pomoću ovog postupka testirajte scenarije šifriranja hibridne sigurnosti podataka za više zakupaca.

Prije početka

Postavite implementaciju hibridne sigurnosti podataka za više zakupaca.
Osigurajte pristup syslogu kako biste provjerili prosljeđuju li se ključni zahtjevi vašoj implementaciji Multi-Tenant Hybrid Data Security.

1

Ključeve za određeni prostor postavlja kreator prostora. Prijavite se u Webex aplikaciju kao jedan od korisnika korisničke organizacije, a zatim stvorite prostor.

Ako deaktivirate implementaciju Hybrid Data Security, sadržaj u prostorima koje korisnici kreiraju više nije dostupan nakon što se zamijene kopije ključeva za šifriranje predmemorirane u klijentu.

2

Pošaljite poruke u novi prostor.

3

Provjerite izlaz sysloga kako biste potvrdili da se ključni zahtjevi prosljeđuju vašoj implementaciji Hybrid Data Security.

Ako korisnik novododane organizacije klijenta izvrši bilo kakvu radnju, ID organizacije pojavit će se u zapisnicima, a to se može koristiti za provjeru koristi li organizacija Multi-Tenant HDS. Provjerite vrijednost kms.data.orgId u syslogovima.

Za provjeru korisnika koji prvo uspostavlja siguran kanal prema KMS-u, filtrirajte prema kms.data.method=create i kms.data.type=EPHEMERAL_KEY_COLLECTION:

Trebali biste pronaći unos poput sljedećeg (identifikatori skraćeni radi čitljivosti):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Za provjeru korisnika koji traži postojeći ključ od KMS-a, filtrirajte prema kms.data.method=retrieve i kms.data.type=KEY:

Trebali biste pronaći unos poput:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji traži stvaranje novog KMS ključa, filtrirajte prema kms.data.method=create i kms.data.type=KEY_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Da biste provjerili ima li korisnika koji zahtijeva stvaranje novog KMS resursnog objekta (KRO) kada se stvori prostor ili drugi zaštićeni resurs, filtrirajte prema kms.data.method=create i kms.data.type=RESOURCE_COLLECTION:

Trebali biste pronaći unos poput:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Tumačenje HDS zapisnika i razumijevanje oznaka agenata

HDS zapisnici pružaju detaljne informacije o KMS zahtjevima. Ovi zapisnici uključuju različita polja koja pomažu u identificiranju prirode zahtjeva i povezanog identiteta. Razumijevanje ovih područja ključno je za ispravno tumačenje aktivnosti i pouzdanih internih operacija.

Nazivlje

Radi jasnoće prilikom pregledavanja HDS zapisnika, važno je razumjeti sljedeće pojmove:

Termin	Definicija
Račun usluge	Identitet usluge koji omogućuje Webex uslugama sigurno izvršavanje ovlaštenih radnji.
Agent	Identitet servisnog entiteta ili servisnog računa koji se koristi za izvođenje automatiziranih operacija unutar HDS okruženja.
Oznaka agenta	Oznaka uključena u HDS zapisnike koja identificira specifičan izvor i vrstu dolaznog zahtjeva, omogućujući učinkovitu reviziju kontrole pristupa.
Delegirani pristup	Ovlašteni servisni račun koji šalje zahtjev za određenog korisnika, unutar dopuštenja tog korisnika. Pojavljuje se kao zahtjev za delegiranje: `agent -> userid`.

Pojam "Agent" u ovom kontekstu odnosi se posebno na identitete HDS usluga. Ovo nije povezano s agentima pokretanim umjetnom inteligencijom koji se koriste u drugim Webex značajkama.

Zahtjev se uslužuje samo kada potječe od:

autentificirani korisnik u vašoj organizaciji ili
servisni račun koji se nalazi u vašoj organizaciji i koji je vaša organizacija odobrila.

Pregled polja zapisnika

Polje	Što predstavlja
Vremenska oznaka	Datum i vrijeme operacije.
kms.data.method	Izvršena KMS operacija (npr. dohvaćanje).
kms.data.orgld	Identifikator organizacije.
kms.data.httpUserAgent	Klijent ili usluga koja podnosi zahtjev.
WEBEX_ID ZA PRAĆENJE	Jedinstveni identifikator praćenja za zahtjev.
kms.data.uriHost / kms.data.uri	Host i resurs na koje se zahtjev odnosi.
kms.data.userld	Identitet koji izvršava zahtjev, uključujući oznaku agenta.
kms.odgovor.uspjeh	Označava je li zahtjev uspio.

Vrste zahtjeva - Kratki pregled

Oznaka u zapisniku	Oznaka agenta	Što predstavlja	Tipične operacije
Vrsta korisnika: userAgent	Korisnički agent	Pouzdani servisni račun povezan s korisničkim tijekom rada, ograničen na vašu organizaciju.	Creating/managing ključevi za korisnički proces.
o-agent <id> -> korisnički ID <id>	Organizacijski agent	Račun pouzdane usluge na razini organizacije koji koristi delegirani pristup.	Izdvajanje podataka iz Webexa od strane službenika za usklađenost, integracije kalendara.
c-agent <id> -> korisnički ID <id>	Agent u oblaku	Webex usluga koja izvršava delegirani zahtjev za određenog korisnika.	Skeniranje virusa, pregled sadržaja, transkripti.
c-agent <id>	Agent u oblaku	Webex usluga koja izvršava delegirani zahtjev.	ECDHE / ključevi sesije.
UUID krajnjeg korisnika	-	Autentificirani krajnji korisnik koji komunicira s HDS-om.	Korisnik koji dohvaća vlastiti ključ.

Vrste zahtjeva - Detaljno

Oznake agenata kategoriziraju izvor zahtjeva i pomažu u određivanju odgovarajućih kontrola pristupa. Sljedeći primjeri pokazuju više vrsta zahtjeva i oznake agenata povezane s njima.

Korisnički agent (korisničkiAgent):

To su pouzdani Webex servisni računi povezani s određenim korisničkim tijekovima rada i ograničeni su na organizaciju korisnika. Obično se koriste kada usluga stvara i upravlja ključevima u ime korisničkog tijeka rada.

Primjer zapisnika:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje korisničkog agenta (userAgent) koji izvodi operacije prikupljanja resursa za Webex uslugu.
Organizacijski agent (o-agent):

Ovi pouzdani Webex servisni računi ovlašteni su za izvršavanje delegiranih operacija u ime korisnika unutar HDS-a. Ograničeni na organizaciju klijenta, ovi računi izvršavaju operacije na razini organizacije. Ova funkcionalnost podržava nekoliko značajki, kao što je omogućavanje službenicima za usklađenost da pretražuju i izdvajaju podatke o komunikaciji Webexa - osiguravajući organizacijsku usklađenost s regulatornim, sigurnosnim i standardima privatnosti podataka.

Primjer zapisnika:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje organizacijskog agenta (o-agent 9[~]c) koji dohvaća ključ u ime korisnika (4[~]b) za Webex uslugu.
Agent u oblaku (c-agent):
Ovi pouzdani Webex servisni računi ovlašteni su za izvođenje operacija na HDS-u putem delegiranog pristupa u ime korisnika. Podržavaju bitne značajke - kao što su snimke nakon sastanka, transkripti, skeniranje protiv zlonamjernog softvera i pregledi datoteka koje poboljšavaju cjelokupno korisničko iskustvo.

Iako se Cloud Agents može onemogućiti izmjenom ISO datoteke, korisnici bi trebali biti svjesni da će to rezultirati gubitkom funkcionalnosti, kao što su transkripti snimanja nakon sastanka ili automatizirano skeniranje protiv zlonamjernog softvera.

Primjer zapisnika:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Ključni pokazatelj: Primjer zapisnika prikazuje agenta u oblaku (c-agent b[~]c) koji dohvaća ključ sadržaja u ime korisnika (9[~]c).

Izravna interakcija krajnjeg korisnika:

Autentificirani korisnik koji izravno komunicira s HDS-om.

Primjer zapisnika:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ključni pokazatelj: Primjer zapisnika prikazuje krajnjeg korisnika (c[~]f) koji preuzima ključ i izravno komunicira s HDS-om.

Praćenje stanja sigurnosti hibridnih podataka

Pokazatelj statusa unutar Partner Huba pokazuje vam je li sve u redu s implementacijom Multi-Tenant Hybrid Data Security. Za proaktivnije obavijesti prijavite se za obavijesti putem e-pošte. Bit ćete obaviješteni kada se pojave alarmi ili nadogradnje softvera koji utječu na uslugu.

1	U Partner Hubuodaberite Usluge iz izbornika na lijevoj strani zaslona.
2	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Uredi postavke. Pojavit će se stranica Postavke hibridne sigurnosti podataka.
3	U odjeljku Obavijesti e-poštom upišite jednu ili više adresa e-pošte odvojenih zarezima i pritisnite Enter.

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Pomoću ovdje opisanih zadataka upravljajte implementacijom hibridne sigurnosti podataka.

Postavi raspored nadogradnje klastera

Nadogradnje softvera za hibridnu sigurnost podataka obavljaju se automatski na razini klastera, što osigurava da svi čvorovi uvijek koriste istu verziju softvera. Nadogradnje se vrše prema rasporedu nadogradnje za klaster. Kada nadogradnja softvera postane dostupna, imate mogućnost ručne nadogradnje klastera prije planiranog vremena nadogradnje. Možete postaviti određeni raspored nadogradnje ili koristiti zadani raspored 3:00 AM Daily Sjedinjene Države: America/Los Angeles. Također možete odabrati odgodu nadogradnje, ako je potrebno.

Za postavljanje rasporeda nadogradnje:

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Hibridna sigurnost podataka i kliknite Postavi
4	Na stranici Hibridni resursi za sigurnost podataka odaberite klaster.
5	Kliknite na karticu Postavke klastera.
6	Na stranici Postavke klastera, pod Raspored nadogradnje, odaberite vrijeme i vremensku zonu za raspored nadogradnje. Napomena: Ispod vremenske zone prikazuje se sljedeći dostupni datum i vrijeme nadogradnje. Nadogradnju možete po potrebi odgoditi na sljedeći dan klikom na Odgodi za 24 sata.

Promjena konfiguracije čvora

Povremeno ćete možda morati promijeniti konfiguraciju hibridnog čvora sigurnosti podataka iz razloga kao što su:

Promjena x.509 certifikata zbog isteka ili drugih razloga.

Ne podržavamo promjenu naziva CN domene certifikata. Domena se mora podudarati s izvornom domenom koja se koristi za registraciju klastera.
Ažuriranje postavki baze podataka za promjenu u repliku PostgreSQL ili Microsoft SQL Server baze podataka.

Ne podržavamo premještanje podataka s PostgreSQL-a na Microsoft SQL Server ili obrnuto. Kako biste promijenili okruženje baze podataka, pokrenite novu implementaciju Hibridne sigurnosti podataka.
Izrada nove konfiguracije za pripremu novog podatkovnog centra.

Također, u sigurnosne svrhe, Hybrid Data Security koristi lozinke računa servisa koje imaju devetomjesečni životni vijek. Nakon što alat za postavljanje HDS-a generira te lozinke, implementirajte ih na svaki hds čvor u datoteci ISO konfiguracije. Kada se lozinke vaše tvrtke ili ustanove približavaju isteku, primit ćete obavijest od tima webexa da ponovno postavite lozinku za račun računala. (E-pošta uključuje tekst: "Koristite API računa računala za ažuriranje lozinke.") Ako lozinke još nisu istekle, alat vam daje dvije mogućnosti:

Meki reset— Stara i nova lozinka rade do 10 dana. Koristite ovo razdoblje za postupnu zamjenu ISO datoteke na čvorovima.
Hard reset—Stare lozinke odmah prestaju raditi.

Ako vaše lozinke isteknu bez resetiranja, to utječe na vaš HDS servis, zahtijevajući trenutno teško resetiranje i zamjenu ISO datoteke na svim čvorovima.

Pomoću ovog postupka generirajte novu konfiguracijsku ISO datoteku i primijenite je na svoj klaster.

Prije nego što počnete

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, pokrenite Docker na tom stroju. Za postupak postavljanja potrebne su vjerodajnice Partner Hub računa s punim administratorskim pravima partnera.

Ako nemate licencu za Docker Desktop, možete koristiti Podman Desktop za pokretanje alata za postavljanje HDS-a za korake od 1.a do 1.e u donjem postupku. Za detalje pogledajte Pokretanje alata za postavljanje HDS-a pomoću Podman Desktopa.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u 1.e. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Za generiranje nove konfiguracije potrebna vam je kopija trenutne konfiguracije ISO datoteke. ISO sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. ISO vam je potreban kada mijenjate konfiguraciju, uključujući vjerodajnice baze podataka, ažuriranja certifikata ili promjene pravila autorizacije.

1	Koristeći Docker na lokalnom stroju, pokrenite HDS Setup Tool. Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `docker rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti. Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `docker login -u hdscustomersro` Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `docker pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `docker pull ciscocitg/hds-setup-fedramp:stable` Provjerite jeste li izvukli najnoviji alat za podešavanje za ovaj postupak. Verzije alata izrađene prije 22. veljače 2018. nemaju zaslone za resetiranje lozinke. Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja". Koristite preglednik za povezivanje s localhostom, `http://127.0.0.1:8080`. Alat za postavljanje ne podržava povezivanje s localhostom putem http://localhost:8080. Koristite http://127.0.0.1:8080 za povezivanje s localhostom. Kada se to od vas zatraži, unesite svoje korisničke podatke za prijavu u Partner Hub, a zatim kliknite Prihvati za nastavak. Uvezite trenutnu konfiguracijsku ISO datoteku. Slijedite upute kako biste dovršili alat i preuzeli ažuriranu datoteku. Za zatvaranje alata za postavljanje upišite `CTRL+C`. Izradite sigurnosnu kopiju ažurirane datoteke u drugom podatkovnom centru.
2	Ako imate pokrenut samo jedan HDS čvor, stvorite novi virtualni stroj čvora Hybrid Data Security i registrirajte ga pomoću nove ISO datoteke konfiguracije. Za detaljnije upute pogledajte Stvaranje i registracija više čvorova. Instalirajte HDS host JAJAŠCA. Podesite HDS VM. Montirajte ažuriranu konfiguracijsku datoteku. Registrirajte novi čvor u Partner Hubu.
3	Za postojeće HDS čvorove koji pokreću stariju konfiguracijsku datoteku, postavite ISO datoteku. Izvedite sljedeći postupak na svakom čvoru redom, ažurirajući svaki čvor prije isključivanja sljedećeg čvora: Isključite virtualni stroj. U lijevom navigacijskom oknu klijenta VMware vSphere kliknite desnom tipkom miša na VM i kliknite Uredi postavke. Kliknite `CD/DVD Drive 1`, odaberite opciju montiranja iz ISO datoteke i pronađite lokaciju na koju ste preuzeli novu ISO datoteku konfiguracije. Provjerite Connect pri uključivanju. Uštedite na promjenama i napajanju na virtualnom stroju.
4	Ponovite korak 3 kako biste zamijenili konfiguraciju na svakom preostalom čvoru koji pokreće staru konfiguraciju.

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Kada registrirate čvor ili provjerite konfiguraciju proxyja čvora, proces testira traženje DNS-a i povezivanje s Cisco Webex oblakom. Ako DNS poslužitelj čvora ne može razriješiti javne DNS nazive, čvor automatski prelazi u način blokirane vanjske razlučivosti DNS-a.

Ako čvorovi mogu razriješiti javne DNS nazive putem internih DNS poslužitelja, ovaj način rada možete isključiti ponovnim testiranjem proxy veze na svakom čvoru.

Prije nego što počnete

Provjerite mogu li interni DNS poslužitelji razriješiti javne DNS nazive i mogu li čvorovi komunicirati s njima.

1	U web-pregledniku otvorite sučelje čvora Hibridna sigurnost podataka (IP adresa/postavljanje, na primjer, https://192.0.2.0/setup), unesite administratorske vjerodajnice koje ste postavili za čvor, a zatim kliknite Prijava.
2	Idite na Pregled (zadana stranica). Kada je omogućeno, blokirana vanjska DNS razlučivost postavljena je na Da.
3	Idite na stranicu Spremište pouzdanosti i proxy poslužitelj.
4	Kliknite Provjeri proxy vezu. Ako se prikaže poruka da vanjsko rješenje DNS-a nije uspjelo, čvor nije mogao doći do DNS poslužitelja i ostat će u tom načinu rada. U suprotnom, nakon ponovnog pokretanja čvora i povratka na stranicu Pregled, blokirana vanjska razlučivost DNS-a trebala bi biti postavljena na ne.

Što učiniti sljedeće

Ponovite test proxy veze na svakom čvoru u klasteru hibridne sigurnosti podataka.

Ukloni čvor

Pomoću ovog postupka uklonite čvor Hybrid Data Security iz Webex oblaka. Nakon što uklonite čvor iz klastera, izbrišite virtualni stroj kako biste spriječili daljnji pristup svojim sigurnosnim podacima.

1

Pomoću VMware vSphere klijenta na računalu prijavite se na ESXi virtualni host i isključite virtualni stroj.

2

Uklonite čvor:

Prijavite se u Partner Hub, a zatim odaberite Usluge.
Na kartici Hibridna sigurnost podataka kliknite Prikaži sve za prikaz stranice Resursi hibridne sigurnosti podataka.
Odaberite svoj klaster za prikaz njegove ploče Pregled.
Kliknite na čvor koji želite ukloniti.
Kliknite Odregistriraj ovaj čvor na ploči koja se pojavljuje s desne strane
Također možete odjaviti čvor klikom na … s desne strane čvora i odabirom Odjavi čvor.

3

U vSphere klijentu izbrišite VM. (U lijevom navigacijskom oknu desnom tipkom miša kliknite VM i kliknite Izbriši.)

Ako ne izbrišete VM, ne zaboravite odmontirati ISO datoteku konfiguracije. Bez ISO datoteke ne možete koristiti virtualni stroj za pristup svojim sigurnosnim podacima.

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

Najvažnija usluga koju pruža vaš hibridni klaster sigurnosti podataka je stvaranje i pohrana ključeva koji se koriste za šifriranje poruka i ostalog sadržaja pohranjenog u Webex oblaku. Za svakog korisnika unutar organizacije koji je dodijeljen Hybrid Data Securityju, novi zahtjevi za stvaranje ključeva usmjeravaju se u klaster. Klaster je također odgovoran za vraćanje ključeva koje je stvorio svim korisnicima ovlaštenim za njihovo preuzimanje, na primjer, članovima prostora za razgovor.

Budući da klaster obavlja ključnu funkciju pružanja ovih ključeva, nužno je da klaster ostane u pogonu i da se održavaju odgovarajuće sigurnosne kopije. Gubitak baze podataka Hybrid Data Security ili konfiguracijskog ISO-a koji se koristi za shemu rezultirat će NEPOVRATNIM GUBITKOM korisničkog sadržaja. Sljedeće su prakse obvezne kako bi se spriječio takav gubitak:

Ako katastrofa uzrokuje nedostupnost HDS implementacije u primarnom podatkovnom centru, slijedite ovaj postupak za ručno prebacivanje na rezervni podatkovni centar.

Prije početka

Za izvođenje postupka prebacivanja u slučaju kvara navedenog u nastavku upotrijebite najnoviju ISO datoteku koja je konfigurirana na čvorovima klastera koji je prethodno bio aktivan.

1	Pokrenite alat za postavljanje HDS-a i slijedite korake navedene u Izrada ISO datoteke konfiguracije za HDS hostove.
2	Nakon konfiguracije Syslogd poslužitelja, kliknite na Napredne postavke
3	Na stranici Napredne postavke dodajte konfiguraciju u nastavku ili uklonite konfiguraciju `passiveMode` kako biste čvor učinili aktivnim. Čvor može obraditi promet nakon što je ovo konfigurirano. `passiveMode: 'false'`
4	Dovršite postupak konfiguracije i spremite ISO datoteku na mjesto koje je lako pronaći.
5	Napravite sigurnosnu kopiju ISO datoteke na vašem lokalnom sustavu. Sigurnosnu kopiju čuvajte na sigurnom. Ova datoteka sadrži glavni ključ za šifriranje sadržaja baze podataka. Ograničite pristup samo na one administratore hibridne sigurnosti podataka koji bi trebali mijenjati konfiguraciju.
6	U lijevom navigacijskom oknu VMware vSphere klijenta desnom tipkom miša kliknite VM i kliknite Uredi postavke..
7	Kliknite Uredi postavke >CD/DVD Pogon 1 i odaberite ISO datoteku spremišta podataka. Provjerite jesu li označeni Povezano i Poveži se pri uključivanju kako bi ažurirane promjene konfiguracije mogle stupiti na snagu nakon pokretanja čvorova.
8	Uključite HDS čvor i provjerite da nema alarma najmanje 15 minuta.
9	Ponovite postupak za svaki čvor u rezervnom podatkovnom centru. Provjerite izlaz syslog-a kako biste potvrdili da čvorovi podatkovnog centra u stanju pripravnosti nisu u pasivnom načinu rada. „KMS konfiguriran u pasivnom načinu rada“ ne bi se trebao pojavljivati u syslogovima.

Što učiniti sljedeće

Nakon prebacivanja u drugi sustav, ako primarni podatkovni centar ponovno postane aktivan, ponovno postavite rezervni podatkovni centar u pasivni način rada slijedeći korake opisane u Postavljanje rezervnog podatkovnog centra za oporavak od katastrofe.

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a

Standardna HDS konfiguracija radi s montiranom ISO karticom. No, neki korisnici radije ne ostavljaju ISO datoteke kontinuirano montirane. ISO datoteku možete odmontirati nakon što svi HDS čvorovi prihvate novu konfiguraciju.

I dalje koristite ISO datoteke za promjene konfiguracije. Kada stvarate novi ISO ili ažurirate ISO putem alata za postavljanje, morate montirati ažurirani ISO na sve svoje HDS čvorove. Nakon što svi vaši čvorovi prime promjene konfiguracije, možete ponovno odmontirati ISO datoteku ovim postupkom.

Prije početka

Nadogradite sve svoje HDS čvorove na verziju 2025.06.02.6983 ili noviju.

1	Isključite jedan od svojih HDS čvorova.
2	U vCenter Server Applianceu odaberite HDS čvor.
3	Odaberite Uredi postavke > CD/DVD pogon i poništite odabir ISO datoteka spremišta podataka.
4	Uključite HDS čvor i provjerite da nema alarma najmanje 20 minuta.
5	Ponovite redom za svaki HDS čvor.

Rješavanje problema hibridne sigurnosti podataka

Prikaz upozorenja i rješavanje problema

Implementacija hibridne sigurnosti podataka smatra se nedostupnom ako su svi čvorovi u klasteru nedostupni ili ako klaster radi toliko sporo da zahtijeva istek vremena. Ako korisnici ne mogu pristupiti vašem klasteru Hybrid Data Security, iskusit će sljedeće simptome:

Novi prostori se ne mogu stvoriti (ne mogu se stvoriti novi ključevi)
Poruke i nazivi prostora ne uspijevaju se dešifrirati za:
- Novi korisnici dodani u prostor (nije moguće dohvatiti ključeve)
- Postojeći korisnici u prostoru koji koriste novog klijenta (ne mogu dohvatiti ključeve)
Postojeći korisnici u prostoru nastavit će uspješno funkcionirati sve dok njihovi klijenti imaju predmemoriju ključeva za šifriranje.

Važno je da pravilno pratite svoj hibridni klaster sigurnosti podataka i pravovremeno rješavate sva upozorenja kako biste izbjegli prekid usluge.

Upozorenja

Ako postoji problem s postavkama hibridne sigurnosti podataka, Partner Hub prikazuje upozorenja administratoru organizacije i šalje e-poruke na konfiguriranu adresu e-pošte. Upozorenja pokrivaju mnoge uobičajene scenarije.

Tablica 1. Uobičajeni problemi i koraci za njihovo rješavanje
Upozorenje	Radnja
Pristup lokalnoj bazi podataka nije uspjetio.	Provjerite ima li pogrešaka u bazi podataka ili problema s lokalnom mrežom.
Greška u povezivanju s lokalnom bazom podataka.	Provjerite je li poslužitelj baze podataka dostupan i jesu li u konfiguraciji čvora korišteni ispravni podaci za servisni račun.
Greška u pristupu usluzi u oblaku.	Provjerite mogu li čvorovi pristupiti Webex poslužiteljima kako je navedeno u Zahtjevi za vanjsku povezivost.
Obnova registracije usluge u oblaku.	Registracija za usluge u oblaku je odbačena. Obnova registracije je u tijeku.
Registracija usluge u oblaku je prekinuta.	Registracija za usluge u oblaku je prekinuta. Usluga se isključuje.
Usluga još nije aktivirana.	Aktivirajte HDS u Partner Hubu.
Konfigurirana domena ne odgovara certifikatu poslužitelja.	Provjerite odgovara li certifikat vašeg poslužitelja konfiguriranoj domeni za aktivaciju usluge. Najvjerojatniji uzrok je taj što je CN certifikata nedavno promijenjen i sada se razlikuje od CN-a koji je korišten tijekom početne instalacije.
Autentifikacija za usluge u oblaku nije uspjela.	Provjerite točnost i mogući istek vjerodajnica servisnog računa.
Nije uspjelo otvaranje lokalne datoteke spremišta ključeva.	Provjerite integritet i točnost lozinke u lokalnoj datoteci spremišta ključeva.
Certifikat lokalnog poslužitelja nije važeći.	Provjerite datum isteka certifikata poslužitelja i potvrdite da ga je izdao pouzdani izdavatelj certifikata.
Nije moguće objaviti metrike.	Provjerite pristup lokalne mreže vanjskim uslugama u oblaku.
/media/configdrive/hds direktorij ne postoji.	Provjerite konfiguraciju montiranja ISO datoteke na virtualnom hostu. Provjerite postoji li ISO datoteka, je li konfigurirana za montiranje pri ponovnom pokretanju i je li se uspješno montirala.
Postavljanje organizacije zakupca nije dovršeno za dodane organizacije	Dovršite postavljanje stvaranjem CMK-ova za novododane organizacije stanara pomoću alata za postavljanje HDS-a.
Postavljanje organizacije zakupca nije dovršeno za uklonjene organizacije	Dovršite postavljanje opozivom CMK-ova organizacija stanara koji su uklonjeni pomoću alata za postavljanje HDS-a.

Rješavanje problema hibridne sigurnosti podataka

Prilikom rješavanja problema s hibridnom sigurnošću podataka koristite sljedeće opće smjernice.

1	Prijavite se u partnerski centar.
2	Iz izbornika na lijevoj strani zaslona odaberite Usluge.
3	U odjeljku Hibrid pronađite Sigurnost hibridnih podataka i kliknite Događaji.
4	Pregledajte stranicu povijesti događaja za sva upozorenja i ispravite sve stavke koje tamo pronađete. Za referencu pogledajte sliku ispod.
5	Pregledajte izlaz syslog poslužitelja za aktivnosti iz implementacije Hybrid Data Security. Filtrirajte riječi poput "Upozorenje" i "Pogreška" kako biste lakše riješili problem.
6	Kontaktirajte Cisco podršku.

HDS Developer API-ji

HDS Developer API-ji su način za dohvaćanje analitičkih i praćenih podataka, kao i za rješavanje problema s vašim HDS implementacijama putem Webex Developer Portala. API-ji su dostupni na . https://developer.webex.com/messaging/docs/api/v1/hds

Ostale bilješke

Poznati problemi za sigurnost hibridnih podataka

Ako isključite sve aktivne klastere Hybrid Data Security (brisanjem u Partner Hubu ili isključivanjem svih čvorova), izgubite ISO datoteku konfiguracije ili izgubite pristup bazi podataka spremišta ključeva, korisnici Webex aplikacije korisničkih organizacija više ne mogu koristiti prostore na svom popisu Osobe koji su stvoreni ključevima iz vašeg KMS-a. Trenutno nemamo zaobilazno rješenje ili ispravak za ovaj problem i potičemo vas da ne isključujete svoje HDS usluge nakon što počnu obrađivati aktivne korisničke račune.
Klijent koji ima postojeću ECDH vezu s KMS-om održava tu vezu određeno vrijeme (vjerojatno jedan sat).

Pokrenite alat za postavljanje HDS-a pomoću Podman Desktopa

Podman je besplatni alat otvorenog koda za upravljanje kontejnerima koji omogućuje pokretanje, upravljanje i stvaranje kontejnera. Podman Desktop se može preuzeti s https://podman-desktop.io/downloads.

HDS Setup alat radi kao Docker spremnik na lokalnom stroju. Za pristup, preuzmite i pokrenite Podman na tom računalu. Za postupak postavljanja potrebne su vjerodajnice računa centra za kontrolu s punim administratorskim pravima za vašu tvrtku ili ustanovu.

Ako se alat za postavljanje HDS-a pokreće iza proxyja u vašem okruženju, navedite postavke proxyja (poslužitelj, port, vjerodajnice) putem Docker varijabli okruženja prilikom pokretanja Docker kontejnera u koraku 5. Ova tablica daje neke moguće varijable okoliša:

Opis	Varijabla
HTTP proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS proxy bez provjere autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS proxy s provjerom autentičnosti	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Konfiguracijska ISO datoteka koju generirate sadrži glavni ključ koji šifrira PostgreSQL ili Microsoft SQL Server bazu podataka. Trebate najnoviju kopiju ove datoteke svaki put kada mijenjate konfiguraciju, poput ovih:
- Vjerodajnice baze podataka
- Ažuriranja certifikata
- Promjene u pravilima autorizacije
Ako planirate šifrirati veze s bazom podataka, postavite implementaciju PostgreSQL-a ili SQL Servera za TLS.

Postupak postavljanja Hybrid Data Security stvara ISO datoteku. Zatim koristite ISO za konfiguriranje vašeg Hybrid Data Security hosta.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Što učiniti sljedeće

Slijedite preostale korake u Izradite ISO konfiguraciju za HDS hostove ili Promijenite konfiguraciju čvora za izradu ili promjenu ISO konfiguracije.

Premjestite postojeću implementaciju HDS-a za jednog zakupca partnerske organizacije u Control Hubu u postavku HDS-a za više zakupaca u Partner Hubu

Konverzija iz postojećeg HDS implementacije s jednim zakupcem partnerske organizacije kojom se upravlja u Control Hubu u HDS implementaciju s više zakupaca kojom se upravlja u Partner Hubu prvenstveno uključuje deaktivaciju HDS usluge u Control Hubu, odjavu čvorova i brisanje klastera. Zatim se možete prijaviti u Partner Hub, registrirati čvorove, aktivirati Multi-Tenant HDS i dodati korisnike u svoj klaster.

Izraz "jednostruki stanar" jednostavno se odnosi na postojeće HDS raspoređivanje u Control Hubu.

Deaktivirajte HDS, odregistrirajte čvorove i izbrišite sve klastere u Control Hubu

1	Prijavite se u Kontrolni centar. U lijevom oknu kliknite Hibrid. Na kartici Hibridna sigurnost podataka kliknite Uredi postavke.
2	Na stranici postavki pomaknite se prema dolje do odjeljka Deaktiviraj i kliknite Deaktiviraj.
3	Nakon deaktivacije kliknite na karticu Resursi.
4	Stranica Resursi navodi klastere u vašem HDS implementaciji. Klikom na klaster otvara se stranica sa svim čvorovima unutar tog klastera.
5	Kliknite s desne strane i kliknite Odregistriraj čvor. Ponovite postupak za sve čvorove u klasteru.
6	Ako vaša implementacija ima više klastera, ponovite korak 4 i korak 5 dok se svi čvorovi ne odregistriraju.
7	Kliknite Postavke klastera > Ukloni.
8	Kliknite Potvrdi uklanjanje za odjavu klastera.
9	Ponovite postupak za sve klastere u vašem HDS implementaciji. Nakon deaktivacije HDS-a, odjave čvorova i uklanjanja klastera, kartica Hybrid Data Service na Control Hubu će na dnu imati prikazano Postavljanje nije dovršeno.

Aktivirajte Multi-Tenant HDS za partnersku organizaciju na Partner Hubu i dodajte korisnike

Prije početka

Svi preduvjeti navedeni u Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca primjenjuju se ovdje. Osim toga, osigurajte da se ista baza podataka i certifikati koriste tijekom prelaska na Multi-Tenant HDS.

1	Prijavite se u Partnerski centar. Kliknite Usluge u lijevom oknu. Za konfiguraciju čvorova koristite isti ISO iz prethodnog HDS implementacije. To će osigurati da su poruke i sadržaj koji su generirali korisnici u prethodnom postojećem HDS raspoređivanju i dalje dostupni u novoj postavci za više zakupaca.
2	U odjeljku Hibrid pronađite karticu Hibridna sigurnost podataka i kliknite Postavi.
3	Na stranici koja se otvori kliknite Dodaj resurs.
4	U prvo polje kartice Stvori klaster unesite naziv klastera kojem želite dodijeliti svoj čvor Hybrid Data Security. Preporučujemo da klaster imenujete na temelju geografske lokacije čvorova klastera. Primjeri: "San Francisco" ili "New York" ili "Dallas"
5	U drugo polje unesite internu IP adresu ili potpuno kvalificirani naziv domene (FQDN) vašeg čvora i kliknite Dodaj pri dnu zaslona. Ova IP adresa ili FQDN trebaju odgovarati IP adresi ili nazivu hosta i domeni koju ste koristili u Postavljanje virtualnog stroja za sigurnost hibridnih podataka. Pojavljuje se poruka koja označava da možete registrirati svoj čvor na Webexu.
6	Kliknite Idi na čvor. Nakon nekoliko trenutaka bit ćete preusmjereni na testove povezivosti čvorova za Webex usluge. Ako su svi testovi uspješni, pojavljuje se stranica Dopusti pristup hibridnom čvoru sigurnosti podataka. Tamo potvrđujete da želite dati dopuštenja svojoj Webex organizaciji za pristup vašem čvoru.
7	Označite potvrdni okvir Dopusti pristup vašem hibridnom čvoru sigurnosti podataka, a zatim kliknite Nastavi. Vaš je račun potvrđen, a poruka "Registracija dovršena" označava da je vaš čvor sada registriran u Webex oblaku. Na stranici Hibridna sigurnost podataka, novi klaster koji sadrži čvor koji ste registrirali prikazuje se pod karticom Resursi. Čvor će automatski preuzeti najnoviji softver iz oblaka.
8	Idite na karticu Postavke i kliknite Aktiviraj na kartici Status HDS-a. PorukaAktiviran HDS pojavit će se na dnu zaslona.
9	Kliknite na karticu Dodijeljeni korisnici.
10	Kliknite Dodaj korisnike.
11	Iz padajućeg izbornika odaberite kupca kojeg želite dodati.
12	Kliknite Dodaj, korisnik će biti dodan u klaster.
13	Ponovite korake od 11 do 13 da biste dodali više korisnika u svoj klaster.
14	Kliknite Gotovo na dnu zaslona nakon što ste dodali kupce.

Što učiniti sljedeće

Pokrenite alat za postavljanje HDS-a kako je detaljno opisano u Stvaranje glavnih ključeva korisnika (CMK) pomoću alata za postavljanje HDS-a za dovršetak postupka postavljanja.

Korištenje OpenSSL-a za generiranje PKCS12 datoteke

Prije početka

OpenSSL je jedan alat koji se može koristiti za izradu PKCS12 datoteke u ispravnom formatu za učitavanje u HDS Setup Tool. Postoje i drugi načini za to, a mi ne podržavamo niti promoviramo jedan način u odnosu na drugi.
Ako se odlučite koristiti OpenSSL, ovaj postupak pružamo kao smjernice koje će vam pomoći u stvaranju datoteke koja zadovoljava zahtjeve X.509 certifikata u X.509 Zahtjevi za certifikat. Razumite te zahtjeve prije nego što nastavite.
Instalirajte OpenSSL u podržanom okruženju. Pogledajte https://www.openssl.org za softver i dokumentaciju.
Izradite privatni ključ.
Započnite ovaj postupak kada primite certifikat poslužitelja od svog izdavatelja certifikata (CA).

1	Kada primite certifikat poslužitelja od svog CA, spremite ga kao `hdsnode.pem`.
2	Prikažite certifikat kao tekst i provjerite detalje. `openssl x509 -text -noout -in hdsnode.pem`
3	Pomoću uređivača teksta stvorite datoteku paketa certifikata pod nazivom `hdsnode-bundle.pem`. Datoteka paketa mora sadržavati certifikat poslužitelja, sve posredne CA certifikate i korijenske CA certifikate u sljedećem formatu: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Izradite .p12 datoteku s prijateljskim nazivom `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Provjerite detalje certifikata poslužitelja. `openssl pkcs12 -in hdsnode.p12` Unesite lozinku na upit za šifriranje privatnog ključa tako da bude navedena u izlazu. Zatim provjerite sadrže li privatni ključ i prvi certifikat retke `friendlyName: kms-private-key`. Primjer: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Što učiniti sljedeće

Povratak na Ispunite preduvjete za hibridnu sigurnost podataka. Datoteku hdsnode.p12 i lozinku koju ste za nju postavili koristit ćete u Izradite ISO konfiguraciju za HDS hostove.

Ove datoteke možete ponovno upotrijebiti za zahtjev novog certifikata kada istekne originalni certifikat.

Promet između HDS čvorova i oblaka

Promet prikupljanja izlaznih metrika

Čvorovi hibridne sigurnosti podataka šalju određene metrike u Webex oblak. To uključuje sistemske metrike za maksimalnu memoriju (heap), korištenu memoriju (heap), opterećenje procesora (CPU) i broj niti; metrike o sinkronim i asinkronim nitima; metrike o upozorenjima koja uključuju prag šifriranih veza, latenciju ili duljinu reda čekanja zahtjeva; metrike o spremištu podataka; i metrike šifriranih veza. Čvorovi šalju šifrirani ključni materijal putem izvanpojasnog (odvojenog od zahtjeva) kanala.

Dolazni promet

Čvorovi hibridne sigurnosti podataka primaju sljedeće vrste dolaznog prometa iz Webex oblaka:

Zahtjevi za šifriranje od klijenata, koje usmjerava usluga šifriranja
Nadogradnje softvera čvora

Konfigurirajte Squid proxyje za hibridnu sigurnost podataka

Websocket se ne može povezati putem proxy poslužitelja lignji

Squid proxyji koji pregledavaju HTTPS promet mogu ometati uspostavljanje websocket (wss:) veza koje zahtijeva Hybrid Data Security. Ovi odjeljci daju smjernice o tome kako konfigurirati različite verzije Squida da ignoriraju wss: promet radi ispravnog rada usluga.

Lignje 4 i 5

Dodajte direktivu on_unsupported_protocol u squid.conf:

on_unsupported_protocol tunnel all

Lignje 3.5.27

Uspješno smo testirali hibridnu sigurnost podataka sa sljedećim pravilima dodanim u squid.conf. Ova pravila podložna su promjenama kako razvijamo značajke i ažuriramo Webex oblak.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

1	Na naredbenoj liniji stroja unesite odgovarajuću naredbu za svoje okruženje: U redovitim okruženjima: `podman rmi ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `podman rmi ciscocitg/hds-setup-fedramp:stable` Ovaj korak čisti prethodne HDS slike alata za podešavanje. Ako nema prethodnih snimaka, vraća pogrešku koju možete zanemariti.
2	Da biste se prijavili u Dockerov registar slika, unesite sljedeće: `podman login docker.io -u hdscustomersro`
3	Na upit za zaporku unesite ovaj hash: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Preuzmite najnoviju stabilnu sliku za svoje okruženje: U redovitim okruženjima: `podman pull ciscocitg/hds-setup:stable` U FedRAMP okruženjima: `podman pull ciscocitg/hds-setup-fedramp:stable`
5	Kada se povlačenje završi, unesite odgovarajuću naredbu za svoje okruženje: U uobičajenim okruženjima bez punomoćnika: `podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` U uobičajenim okruženjima s HTTP proxyjem: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U redovnim okruženjima s HTTPS proxyjem: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` U FedRAMP okruženjima bez proxyja: `podman run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTP proxyjem: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` U FedRAMP okruženjima s HTTPS proxyjem: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Kad je spremnik pokrenut, na portu 8080 vidjet ćete "Ekspresno slušanje poslužitelja".

Cisco AI Assistant

Hvala na povratnim informacijama.

Nove i promijenjene informacije

Nove i promijenjene informacije

Deaktivirajte sigurnost hibridnih podataka za više zakupaca

Tijek zadatka deaktivacije višestanarskog HDS-a

Najčešća pitanja

Najčešća pitanja

P. Jesu li CMK-ovi i glavni ključ pohranjeni u ISO-u ili bazi podataka?

P. Koristi li se jedan ključ za šifriranje svih podataka organizacija klijenata?

P. Što će se dogoditi ako onemogućim HDS iz Partner Huba?

P. Nakon što se CMK generira za korisničku organizaciju putem alata za postavljanje HDS-a, počinju li korisnici korisničke organizacije odmah koristiti Multi-Tenant HDS?

P. Zašto ne vidim popis kupaca kada kliknem gumb "Dodaj kupce" u Partner Hubu?

P. Kakav je utjecaj ako se svi HDS čvorovi isključe ili ako problem s mrežom utječe na sve HDS čvorove?

P. Jesu li korisnički podaci partnerske organizacije šifrirani glavnim ključem generiranim tijekom stvaranja ISO datoteke?

P. Mogu li partnerska organizacija i organizacije zakupci biti u različitim regijama (npr. SAD-u i EU)?

P. Postoji li neki mehanizam za vraćanje ključeva u Cloud KMS?

P. Može li partner nastaviti koristiti Cloud KMS i koristiti isključivo Multi-Tenant HDS za upravljanje klijentima?

P. Kako partner može provjeriti koristi li njegova organizacija Multi-Tenant HDS za šifriranje?

P. Postoji li alternativa Docker Desktopu za pokretanje alata za postavljanje HDS-a?

P. Koliko čvorova mogu implementirati u klasteru s više zakupaca HDS-a?

P. Koji su mrežni zahtjevi potrebni za postavljanje Multi-Tenant HDS-a?

P. Je li Pro Pack za Control Hub obavezan za partnerske organizacije?

P. Je li HSM podržan u Multi-Tenant HDS-u?

P. Mogu li testirati Multi-Tenant HDS sa samopotpisanim certifikatom?

P. Je li potrebno montirati ISO datoteku svaki put kada se novi korisnik doda u Partner Hub?

P. Nakon što se Multi-Tenant HDS implementira na Partner Hubu, počinju li korisnici partnerske organizacije koristiti lokalni KMS za upravljanje ključevima?

Započnite s hibridnom sigurnošću podataka za više zakupaca

Pregled sigurnosti hibridnih podataka za više zakupaca

Kako hibridna sigurnost podataka za više zakupaca osigurava suverenitet i kontrolu podataka

Ograničenja sigurnosti podataka hibridnih sustava s više zakupaca

Uloge u hibridnoj sigurnosti podataka za više zakupaca

Arhitektura sigurnosnog područja

Suradnja s drugim organizacijama

Očekivanja za implementaciju hibridne sigurnosti podataka

Postupak postavljanja na visokoj razini

Hibridni model implementacije sigurnosti podataka

Rezervni podatkovni centar za oporavak od katastrofe

Postavite rezervni podatkovni centar za oporavak od katastrofe

Podrška za proxy poslužitelje

Primjer hibridnih čvorova i proxyja za sigurnost podataka

Blokirani način vanjske razlučivosti DNS-a (eksplicitne konfiguracije proxy poslužitelja)

Priprema okruženja

Zahtjevi za sigurnost podataka hibridnih sustava s više zakupaca

Zahtjevi za licencu Cisco Webex

Zahtjevi Docker radne površine

Zahtjevi za X.509 certifikat

Zahtjevi za virtualni host

Zahtjevi poslužitelja baze podataka

Dodatni zahtjevi za provjeru autentičnosti sustava Windows na Microsoft SQL Serveru

Zahtjevi za vanjsku povezivost

Preduvjeti proxy poslužitelja

Ispunite preduvjete za hibridnu sigurnost podataka

Postavljanje hibridnog klastera za sigurnost podataka

Tijek zadatka implementacije hibridne sigurnosti podataka

Izvršite početno postavljanje i preuzmite instalacijske datoteke

Izradite ISO konfiguraciju za HDS hostove

Instalirajte HDS Host OVA

Postavljanje virtualnog stroja za hibridnu sigurnost podataka

Prenesite i montirajte ISO datoteku konfiguracije HDS-a

Konfiguriranje HDS čvora za integraciju proxy poslužitelja

Registrirajte prvi čvor u klasteru

Stvorite i registrirajte više čvorova

Upravljanje organizacijama zakupaca na višezakupničkoj hibridnoj sigurnosti podataka

Aktivirajte Multi-Tenant HDS na Partner Hubu

Dodajte organizacije zakupaca u Partner Hub

Izradite glavne ključeve korisnika (CMK) pomoću alata za postavljanje HDS-a

Uklonite organizacije stanara

Poništiti CMK-ove stanara uklonjenih iz HDS-a.

Testirajte svoju implementaciju hibridne sigurnosti podataka

Testirajte svoju hibridnu implementaciju sigurnosti podataka

Praćenje stanja sigurnosti hibridnih podataka

Upravljajte implementacijom HDS-a

Upravljanje implementacijom HDS-a

Postavi raspored nadogradnje klastera

Promjena konfiguracije čvora

Isključivanje blokiranog načina vanjske razlučivosti DNS-a

Ukloni čvor

Oporavak od katastrofe korištenjem rezervnog podatkovnog centra

(Neobavezno) Odmontirajte ISO nakon konfiguracije HDS-a