Potresti notare che alcuni articoli non vengono visualizzati coerentemente. Stiamo aggiornando il nostro sito. Ci scusiamo per qualsiasi inconveniente.
cross icon
In questo articolo
dropdown icon
Prefazione
    Informazioni nuove e modificate
    dropdown icon
    Introduzione alla sicurezza dei dati ibridi
      Panoramica sulla sicurezza dei dati ibridi
        dropdown icon
        Architettura dell'area di sicurezza
          Campi di separazione (senza sicurezza dei dati ibridi)
        Collaborazione con altre organizzazioni
          Aspettative per la distribuzione della sicurezza dei dati ibridi
            Processo di impostazione di alto livello
              dropdown icon
              Modello di distribuzione di sicurezza dei dati ibridi
                Modello di distribuzione di sicurezza dei dati ibridi
              Modalità di prova della sicurezza dei dati ibridi
                dropdown icon
                Centro dati standby per ripristino di emergenza
                  Imposta centro dati standby per ripristino di emergenza
                Supporto proxy
                dropdown icon
                Preparazione dell'ambiente
                  dropdown icon
                  Requisiti per la sicurezza dei dati ibridi
                    Requisiti della licenza Cisco Webex
                    Requisiti desktop docker
                    Requisiti di certificato X.509
                    Requisiti organizzatore virtuale
                    Requisiti server database
                    Requisiti di connettività esterna
                    Requisiti del server proxy
                  Completamento dei prerequisiti per la sicurezza dei dati ibridi
                  dropdown icon
                  Impostazione di un cluster di sicurezza dei dati ibridi
                    Flusso attività distribuzione sicurezza dati ibridi
                      Scarica file di installazione
                        Creazione di un ISO di configurazione per gli host HDS
                          Installazione del file OVA organizzatore HDS
                            Impostazione della sicurezza dei dati ibridi VM
                              Caricamento e montaggio della configurazione HDS ISO
                                Configurazione del nodo HDS per l'integrazione proxy
                                  Registrazione del primo nodo nel cluster
                                    Creazione e registrazione di altri nodi
                                    dropdown icon
                                    Eseguire una versione di prova e passare alla produzione
                                      Flusso attività da prova a produzione
                                        Attiva versione di prova
                                          Verifica della distribuzione della sicurezza dei dati ibridi
                                            Monitoraggio della salute della sicurezza dei dati ibridi
                                              Aggiunta o rimozione di utenti dalla versione di prova
                                                Passa da versione di prova a produzione
                                                  Terminare la prova senza passare alla produzione
                                                  dropdown icon
                                                  Gestione della distribuzione HDS
                                                    Gestione della distribuzione HDS
                                                      Imposta pianificazione aggiornamento cluster
                                                        Modifica della configurazione del nodo
                                                          Disattiva modalità di risoluzione DNS esterna bloccata
                                                            Rimozione di un nodo
                                                              Ripristino di emergenza tramite centro dati standby
                                                                (Opzionale) Smontaggio ISO dopo configurazione HDS
                                                                dropdown icon
                                                                Risoluzione dei problemi di sicurezza dei dati ibridi
                                                                  Visualizzazione di avvisi e risoluzione dei problemi
                                                                    dropdown icon
                                                                    Avvisi
                                                                      Problemi comuni e le fasi per risolverli
                                                                    Risoluzione dei problemi di sicurezza dei dati ibridi
                                                                    dropdown icon
                                                                    Altre note
                                                                      Problemi noti per la sicurezza dei dati ibridi
                                                                        Uso di OpenSSL per generare un file PKCS12
                                                                          Traffico tra i nodi HDS e il cloud
                                                                            dropdown icon
                                                                            Configurazione dei proxy Squid per la sicurezza dei dati ibridi
                                                                              WebSocket non può connettersi attraverso il proxy Squid
                                                                          In questo articolo
                                                                          cross icon
                                                                          dropdown icon
                                                                          Prefazione
                                                                            Informazioni nuove e modificate
                                                                            dropdown icon
                                                                            Introduzione alla sicurezza dei dati ibridi
                                                                              Panoramica sulla sicurezza dei dati ibridi
                                                                                dropdown icon
                                                                                Architettura dell'area di sicurezza
                                                                                  Campi di separazione (senza sicurezza dei dati ibridi)
                                                                                Collaborazione con altre organizzazioni
                                                                                  Aspettative per la distribuzione della sicurezza dei dati ibridi
                                                                                    Processo di impostazione di alto livello
                                                                                      dropdown icon
                                                                                      Modello di distribuzione di sicurezza dei dati ibridi
                                                                                        Modello di distribuzione di sicurezza dei dati ibridi
                                                                                      Modalità di prova della sicurezza dei dati ibridi
                                                                                        dropdown icon
                                                                                        Centro dati standby per ripristino di emergenza
                                                                                          Imposta centro dati standby per ripristino di emergenza
                                                                                        Supporto proxy
                                                                                        dropdown icon
                                                                                        Preparazione dell'ambiente
                                                                                          dropdown icon
                                                                                          Requisiti per la sicurezza dei dati ibridi
                                                                                            Requisiti della licenza Cisco Webex
                                                                                            Requisiti desktop docker
                                                                                            Requisiti di certificato X.509
                                                                                            Requisiti organizzatore virtuale
                                                                                            Requisiti server database
                                                                                            Requisiti di connettività esterna
                                                                                            Requisiti del server proxy
                                                                                          Completamento dei prerequisiti per la sicurezza dei dati ibridi
                                                                                          dropdown icon
                                                                                          Impostazione di un cluster di sicurezza dei dati ibridi
                                                                                            Flusso attività distribuzione sicurezza dati ibridi
                                                                                              Scarica file di installazione
                                                                                                Creazione di un ISO di configurazione per gli host HDS
                                                                                                  Installazione del file OVA organizzatore HDS
                                                                                                    Impostazione della sicurezza dei dati ibridi VM
                                                                                                      Caricamento e montaggio della configurazione HDS ISO
                                                                                                        Configurazione del nodo HDS per l'integrazione proxy
                                                                                                          Registrazione del primo nodo nel cluster
                                                                                                            Creazione e registrazione di altri nodi
                                                                                                            dropdown icon
                                                                                                            Eseguire una versione di prova e passare alla produzione
                                                                                                              Flusso attività da prova a produzione
                                                                                                                Attiva versione di prova
                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi
                                                                                                                    Monitoraggio della salute della sicurezza dei dati ibridi
                                                                                                                      Aggiunta o rimozione di utenti dalla versione di prova
                                                                                                                        Passa da versione di prova a produzione
                                                                                                                          Terminare la prova senza passare alla produzione
                                                                                                                          dropdown icon
                                                                                                                          Gestione della distribuzione HDS
                                                                                                                            Gestione della distribuzione HDS
                                                                                                                              Imposta pianificazione aggiornamento cluster
                                                                                                                                Modifica della configurazione del nodo
                                                                                                                                  Disattiva modalità di risoluzione DNS esterna bloccata
                                                                                                                                    Rimozione di un nodo
                                                                                                                                      Ripristino di emergenza tramite centro dati standby
                                                                                                                                        (Opzionale) Smontaggio ISO dopo configurazione HDS
                                                                                                                                        dropdown icon
                                                                                                                                        Risoluzione dei problemi di sicurezza dei dati ibridi
                                                                                                                                          Visualizzazione di avvisi e risoluzione dei problemi
                                                                                                                                            dropdown icon
                                                                                                                                            Avvisi
                                                                                                                                              Problemi comuni e le fasi per risolverli
                                                                                                                                            Risoluzione dei problemi di sicurezza dei dati ibridi
                                                                                                                                            dropdown icon
                                                                                                                                            Altre note
                                                                                                                                              Problemi noti per la sicurezza dei dati ibridi
                                                                                                                                                Uso di OpenSSL per generare un file PKCS12
                                                                                                                                                  Traffico tra i nodi HDS e il cloud
                                                                                                                                                    dropdown icon
                                                                                                                                                    Configurazione dei proxy Squid per la sicurezza dei dati ibridi
                                                                                                                                                      WebSocket non può connettersi attraverso il proxy Squid
                                                                                                                                                  Guida alla distribuzione per la sicurezza dei dati ibridi Webex
                                                                                                                                                  list-menuIn questo articolo
                                                                                                                                                  Prefazione

                                                                                                                                                  Informazioni nuove e modificate

                                                                                                                                                  Data

                                                                                                                                                  Modifiche apportate

                                                                                                                                                  20 ottobre 2023

                                                                                                                                                  7 agosto 2023

                                                                                                                                                  23 maggio 2023

                                                                                                                                                  6 dicembre 2022

                                                                                                                                                  23 novembre 2022

                                                                                                                                                  13 ottobre 2021

                                                                                                                                                  Docker Desktop deve eseguire un programma di impostazione prima di installare i nodi HDS. Vedere Requisiti desktop docker.

                                                                                                                                                  24 giugno 2021

                                                                                                                                                  Tenere presente che è possibile riutilizzare il file della chiave privata e il CSR per richiedere un altro certificato. Per informazioni dettagliate, vedere Uso di OpenSSL per generare un file PKCS12.

                                                                                                                                                  30 aprile 2021

                                                                                                                                                  Modificato il requisito della VM per lo spazio su disco rigido locale in 30 GB. Per informazioni dettagliate, vedere Requisiti organizzatore virtuale.

                                                                                                                                                  24 febbraio 2021

                                                                                                                                                  Lo strumento di impostazione HDS ora può essere eseguito dietro un proxy. Per informazioni dettagliate, vedere Creazione di una configurazione ISO per gli host HDS.

                                                                                                                                                  2 febbraio 2021

                                                                                                                                                  HDS ora può funzionare senza un file ISO montato. Per ulteriori informazioni, vedere (Opzionale) Smontaggio dell'ISO dopo la configurazione HDS.

                                                                                                                                                  11 gennaio 2021

                                                                                                                                                  Aggiunte informazioni sullo strumento di impostazione HDS e sui proxy per creare una configurazione ISO per gli host HDS.

                                                                                                                                                  13 ottobre 2020

                                                                                                                                                  Aggiornato Scarica file di installazione.

                                                                                                                                                  8 ottobre 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS e Modifica della configurazione del nodo con i comandi per gli ambienti FedRAMP.

                                                                                                                                                  14 agosto 2020

                                                                                                                                                  Aggiornata Creazione di un ISO di configurazione per gli host HDS e Modifica della configurazione del nodo con modifiche al processo di accesso.

                                                                                                                                                  5 agosto 2020

                                                                                                                                                  Aggiornata la verifica della distribuzione della sicurezza dei dati ibridi per le modifiche nei messaggi del registro.

                                                                                                                                                  Aggiornati i requisiti dell'organizzatore virtuale per rimuovere il numero massimo di organizzatori.

                                                                                                                                                  16 giugno 2020

                                                                                                                                                  Aggiornata la rimozione di un nodo per le modifiche nell'interfaccia utente di Control Hub.

                                                                                                                                                  4 giugno 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS per le modifiche alle impostazioni avanzate che è possibile impostare.

                                                                                                                                                  29 maggio 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS per mostrare che è possibile utilizzare anche TLS con database SQL Server, modifiche dell'interfaccia utente e altri chiarimenti.

                                                                                                                                                  5 maggio 2020

                                                                                                                                                  Aggiornati i requisiti dell'organizzatore virtuale per mostrare il nuovo requisito di ESXi 6.5.

                                                                                                                                                  21 aprile 2020

                                                                                                                                                  Aggiornati i requisiti di connettività esterna con i nuovi host CI Americas.

                                                                                                                                                  1° aprile 2020

                                                                                                                                                  Aggiornati i requisiti di connettività esterna con informazioni sugli host CI regionali.

                                                                                                                                                  20 febbraio 2020Aggiornata Creazione di una configurazione ISO per gli host HDS con informazioni sulla nuova schermata opzionale Impostazioni avanzate nello strumento Impostazione HDS.
                                                                                                                                                  4 febbraio 2020Aggiornati i requisiti del server proxy.
                                                                                                                                                  16 dicembre 2019Chiarito il requisito per il funzionamento della modalità di risoluzione DNS esterna bloccata in Requisiti server proxy.
                                                                                                                                                  19 novembre 2019

                                                                                                                                                  Aggiunte informazioni sulla modalità di risoluzione DNS esterna bloccata nelle seguenti sezioni:

                                                                                                                                                  8 novembre 2019

                                                                                                                                                  Ora è possibile configurare le impostazioni di rete per un nodo durante la distribuzione del file OVA anziché successivamente.

                                                                                                                                                  Aggiornate di conseguenza le seguenti sezioni:


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  6 settembre 2019

                                                                                                                                                  Aggiunto SQL Server Standard ai requisiti del server database.

                                                                                                                                                  È il 29 agosto 2019Aggiunta l'appendice Configura proxy Squid per la sicurezza dei dati ibridi con indicazioni sulla configurazione dei proxy Squid per ignorare il traffico websocket per un funzionamento corretto.
                                                                                                                                                  20 agosto 2019

                                                                                                                                                  Aggiunte e aggiornate sezioni per coprire il supporto proxy per le comunicazioni dei nodi di sicurezza dei dati ibridi al cloud Webex.

                                                                                                                                                  Per accedere solo al contenuto del supporto proxy per una distribuzione esistente, vedere l'articolo della Guida sul supporto proxy per la sicurezza dei dati ibridi e il mesh video Webex.

                                                                                                                                                  13 giugno 2019Aggiornato Flusso attività di prova su produzione con un promemoria per sincronizzare la HdsTrialGroup raggruppa l'oggetto prima di avviare una versione di prova se la tua organizzazione utilizza la sincronizzazione delle rubriche.
                                                                                                                                                  6 marzo 2019
                                                                                                                                                  28 febbraio 2019
                                                                                                                                                  • È stata corretta la quantità di spazio su disco rigido locale per server da impostare quando si preparano gli host virtuali che diventano nodi di sicurezza dei dati ibridi, da 50 GB a 20 GB, in modo da riflettere la dimensione del disco creato dal file OVA.

                                                                                                                                                  26 febbraio 2019
                                                                                                                                                  • I nodi Hybrid Data Security ora supportano connessioni crittografate con server di database PostgreSQL e connessioni di registrazione crittografate a un server syslog con funzionalità TLS. Aggiornata la creazione di un ISO di configurazione per gli host HDS con le istruzioni.

                                                                                                                                                  • URL di destinazione rimossi dalla tabella "Requisiti di connettività Internet per le VM dei nodi di sicurezza dei dati ibridi". La tabella ora si riferisce all'elenco mantenuto nella tabella "URL aggiuntivi per i servizi ibridi dei team Webex" dei Requisiti di rete per i servizi dei team Webex.

                                                                                                                                                  24 gennaio 2019

                                                                                                                                                  • Hybrid Data Security ora supporta Microsoft SQL Server come database. SQL Server Always On (cluster di failover sempre attivi e gruppi di disponibilità sempre attivi) è supportato dai driver JDBC utilizzati in Hybrid Data Security. Aggiunto contenuto relativo alla distribuzione con SQL Server.


                                                                                                                                                     

                                                                                                                                                    Il supporto di Microsoft SQL Server è destinato alle nuove distribuzioni di Hybrid Data Security. Attualmente non è supportata la migrazione dei dati da PostgreSQL a Microsoft SQL Server in una distribuzione esistente.

                                                                                                                                                  5 novembre 2018
                                                                                                                                                  giovedì 19 ottobre 2018

                                                                                                                                                  31 luglio 2018

                                                                                                                                                  21 maggio 2018

                                                                                                                                                  Terminologia modificata per riflettere il rebranding di Cisco Spark:

                                                                                                                                                  • La sicurezza dei dati ibridi Cisco Spark è ora Sicurezza dei dati ibridi.

                                                                                                                                                  • L'app Cisco Spark ora è l'app Webex.

                                                                                                                                                  • Cisco Collaboraton Cloud è ora il cloud Webex.

                                                                                                                                                  11 aprile 2018
                                                                                                                                                  22 febbraio 2018
                                                                                                                                                  15 febbraio 2018
                                                                                                                                                  • Nella tabella dei requisiti di certificato X.509, è specificato che il certificato non può essere un certificato con caratteri jolly e che KMS utilizza il dominio CN, non qualsiasi dominio definito nei campi x.509v3 SAN.

                                                                                                                                                  18 gennaio 2018

                                                                                                                                                  2 novembre 2017

                                                                                                                                                  • Chiarificazione della sincronizzazione delle rubriche di HdsTrialGroup.

                                                                                                                                                  • Istruzioni fisse per il caricamento del file di configurazione ISO per il montaggio sui nodi VM.

                                                                                                                                                  18 agosto 2017

                                                                                                                                                  Prima pubblicazione

                                                                                                                                                  Introduzione alla sicurezza dei dati ibridi

                                                                                                                                                  Panoramica sulla sicurezza dei dati ibridi

                                                                                                                                                  Fin dal primo giorno, la sicurezza dei dati è stata l'obiettivo principale nella progettazione dell'app Webex. La pietra angolare di questa sicurezza è la crittografia del contenuto end-to-end, abilitata dai client dell'app Webex che interagiscono con il servizio di gestione delle chiavi (KMS). Il KMS è responsabile della creazione e della gestione delle chiavi di crittografia utilizzate dai client per crittografare e decrittografare in modo dinamico messaggi e file.

                                                                                                                                                  Per impostazione predefinita, tutti i clienti dell'app Webex ottengono la crittografia end-to-end con chiavi dinamiche memorizzate nel KMS su cloud, nell'area di sicurezza di Cisco. La sicurezza dei dati ibridi sposta il KMS e altre funzioni correlate alla sicurezza nel centro dati aziendali , in modo che nessuno tranne l'utente possieda le chiavi del contenuto crittografato.

                                                                                                                                                  Architettura dell'area di sicurezza

                                                                                                                                                  L'architettura cloud Webex separa diversi tipi di servizio in regni separati o domini attendibili, come illustrato di seguito.

                                                                                                                                                  Campi di separazione (senza sicurezza dei dati ibridi)

                                                                                                                                                  Per comprendere meglio la sicurezza dei dati ibridi, diamo un'occhiata a questo caso cloud puro, in cui Cisco fornisce tutte le funzioni nelle sue aree cloud. Il servizio di identità, l'unico luogo in cui gli utenti possono essere direttamente correlati con le loro informazioni personali come l'indirizzo e-mail, è logicamente e fisicamente separato dall'area di sicurezza nel centro dati B. Entrambi sono a loro volta separati dall'area di archiviazione del contenuto crittografato, nel centro dati C.

                                                                                                                                                  In questo diagramma, il client è l'app Webex in esecuzione sul laptop di un utente ed è stato autenticato con il servizio di identità. Quando l'utente compone un messaggio da inviare a uno spazio, vengono eseguite le seguenti operazioni:

                                                                                                                                                  1. Il client stabilisce una connessione sicura con il servizio di gestione delle chiavi (KMS), quindi richiede una chiave per crittografare il messaggio. La connessione protetta utilizza ECDH e KMS crittografa la chiave utilizzando una chiave master AES-256.

                                                                                                                                                  2. Il messaggio viene crittografato prima di lasciare il client. Il cliente lo invia al servizio di indicizzazione che crea indici di ricerca criptati per facilitare la ricerca futura dei contenuti.

                                                                                                                                                  3. Il messaggio crittografato viene inviato al servizio di compliance per i controlli di conformità.

                                                                                                                                                  4. Il messaggio crittografato viene memorizzato nell'area di storage.

                                                                                                                                                  Quando si distribuisce la sicurezza dei dati ibridi, si spostano le funzioni dell'area di sicurezza (KMS, indicizzazione e conformità) nel centro dati locale. Gli altri servizi cloud che costituiscono Webex (tra cui identità e storage di contenuto) rimangono nei regni di Cisco.

                                                                                                                                                  Collaborazione con altre organizzazioni

                                                                                                                                                  Gli utenti nella tua organizzazione possono utilizzare regolarmente l'app Webex per collaborare con partecipanti esterni in altre organizzazioni. Quando uno dei tuoi utenti richiede una chiave per uno spazio di proprietà della tua organizzazione (perché è stata creata da uno dei tuoi utenti), il tuo KMS invia la chiave al client su un canale protetto ECDH. Tuttavia, quando un'altra organizzazione possiede la chiave per lo spazio, KMS indirizza la richiesta al cloud Webex attraverso un canale ECDH separato per ottenere la chiave dal KMS appropriato, quindi restituisce la chiave all'utente sul canale originale.

                                                                                                                                                  Il servizio KMS in esecuzione sull'organizzazione A convalida le connessioni ai KMS in altre organizzazioni utilizzando certificati PKI x.509. Vedere Preparazione dell'ambiente per informazioni dettagliate sulla generazione di un certificato x.509 da utilizzare con la distribuzione di sicurezza dei dati ibridi.

                                                                                                                                                  Aspettative per la distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Una distribuzione di sicurezza dei dati ibridi richiede un significativo impegno del cliente e una consapevolezza dei rischi derivanti dal possesso di chiavi di crittografia.

                                                                                                                                                  Per distribuire la sicurezza dei dati ibridi, è necessario fornire:

                                                                                                                                                  La perdita completa della configurazione ISO creata per la sicurezza dei dati ibridi o del database fornito provocherà la perdita delle chiavi. La perdita di chiave impedisce agli utenti di decrittografare il contenuto dello spazio e altri dati crittografati nell'app Webex. In questo caso, è possibile creare una nuova distribuzione, ma solo nuovi contenuti saranno visibili. Per evitare di perdere l'accesso ai dati, è necessario:

                                                                                                                                                  • Gestire il backup e il ripristino del database e della configurazione ISO.

                                                                                                                                                  • Prepararsi a eseguire un rapido ripristino di emergenza in caso di catastrofe, come guasto del disco del database o disastro del centro dati.


                                                                                                                                                   

                                                                                                                                                  Non esiste un meccanismo per spostare nuovamente i tasti sul cloud dopo una distribuzione HDS.

                                                                                                                                                  Processo di impostazione di alto livello

                                                                                                                                                  Questo documento copre l'impostazione e la gestione di una distribuzione di sicurezza dei dati ibridi:

                                                                                                                                                  • Impostazione della sicurezza dei dati ibridi: include la preparazione dell'infrastruttura richiesta e l'installazione del software di sicurezza dei dati ibridi, il test della distribuzione con un sottogruppo di utenti in modalità di prova e, una volta completato il test, il passaggio alla produzione. In questo modo, l'intera organizzazione viene convertita per utilizzare il cluster di sicurezza dei dati ibridi per le funzioni di sicurezza.

                                                                                                                                                    Le fasi di configurazione, prova e produzione sono descritte in dettaglio nei prossimi tre capitoli.

                                                                                                                                                  • Mantieni la distribuzione di sicurezza dei dati ibridi: il cloud Webex fornisce automaticamente aggiornamenti continui. Il reparto IT può fornire il supporto di primo livello per questa distribuzione e coinvolgere il supporto Cisco come necessario. Puoi utilizzare notifiche a schermo e impostare avvisi basati su e-mail in Control Hub.

                                                                                                                                                  • Comprendere avvisi comuni, fasi di risoluzione dei problemi e problemi noti: se si verificano problemi di distribuzione o utilizzo della sicurezza dei dati ibridi, l'ultimo capitolo di questa guida e l'appendice Problemi noti possono aiutare a determinare e risolvere il problema.

                                                                                                                                                  Modello di distribuzione di sicurezza dei dati ibridi

                                                                                                                                                  All'interno del centro dati aziendale, si distribuisce Hybrid Data Security come singolo cluster di nodi su host virtuali separati. I nodi comunicano con il cloud Webex attraverso websocket sicuri e HTTP sicuro.

                                                                                                                                                  Durante il processo di installazione, viene fornito il file OVA per impostare l'applicazione virtuale sulle VM fornite. Utilizzare lo strumento di impostazione HDS per creare un file ISO di configurazione del cluster personalizzato che viene montato su ciascun nodo. Il cluster di sicurezza dei dati ibridi utilizza il server Syslogd fornito e il database PostgreSQL o Microsoft SQL Server. Configurare i dettagli di connessione Syslogd e database nello strumento di impostazione HDS.

                                                                                                                                                  Modello di distribuzione di sicurezza dei dati ibridi

                                                                                                                                                  Il numero minimo di nodi che puoi avere in un cluster è due. Si consiglia di averne almeno tre e si possono averne fino a cinque. La presenza di più nodi garantisce che il servizio non venga interrotto durante un aggiornamento software o un'altra attività di manutenzione su un nodo. (Il cloud Webex aggiorna solo un nodo alla volta).

                                                                                                                                                  Tutti i nodi in un cluster accedono allo stesso datastore chiave e registrano l'attività sullo stesso server syslog. I nodi stessi sono apolidi e gestiscono le richieste chiave in modo rotondo-robin, come diretto dal cloud.

                                                                                                                                                  I nodi diventano attivi quando vengono registrati in Control Hub. Per rimuovere un singolo nodo dal servizio, puoi annullarne la registrazione e successivamente eseguirne l'iscrizione, se necessario.

                                                                                                                                                  È supportato solo un singolo cluster per organizzazione.

                                                                                                                                                  Modalità di prova della sicurezza dei dati ibridi

                                                                                                                                                  Dopo aver impostato una distribuzione di sicurezza dei dati ibridi, provare con una serie di utenti pilota. Durante il periodo di prova, questi utenti utilizzano il dominio di sicurezza dei dati ibridi in sede per le chiavi di crittografia e altri servizi di area di sicurezza. Gli altri utenti continuano a utilizzare l'area di sicurezza del cloud.

                                                                                                                                                  Se si decide di non continuare con la distribuzione durante la versione di prova e disattivare il servizio, gli utenti pilota e qualsiasi utente con cui hanno interagito creando nuovi spazi durante il periodo di prova perderanno l'accesso ai messaggi e al contenuto. Nell'app Webex viene visualizzato il messaggio "Impossibile decrittografare questo messaggio".

                                                                                                                                                  Se si è soddisfatti che la distribuzione funzioni correttamente per gli utenti di prova e si è pronti ad estendere la sicurezza dei dati ibridi a tutti gli utenti, spostare la distribuzione in produzione. Gli utenti pilota continuano ad avere accesso alle chiavi in uso durante la prova. Tuttavia, non è possibile spostarsi avanti e indietro tra la modalità di produzione e la versione di prova originale. Se è necessario disattivare il servizio, ad esempio per eseguire il ripristino di emergenza, quando si riattiva è necessario avviare una nuova versione di prova e impostare il set di utenti pilota per la nuova versione di prova prima di tornare alla modalità di produzione. Se gli utenti conservano l'accesso ai dati a questo punto, dipende se sono stati mantenuti con successo i backup dell'archivio dati chiave e del file di configurazione ISO per i nodi di sicurezza dei dati ibridi nel cluster.

                                                                                                                                                  Centro dati standby per ripristino di emergenza

                                                                                                                                                  Durante la distribuzione, è possibile impostare un centro dati standby sicuro. In caso di disastro di un centro dati, è possibile non riuscire manualmente la distribuzione nel centro dati standby.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Failover manuale su centro dati standby

                                                                                                                                                  I database dei centri dati attivi e standby sono sincronizzati tra loro e ciò ridurrà al minimo il tempo necessario per eseguire il failover. Il file ISO del centro dati standby viene aggiornato con configurazioni aggiuntive che assicurano che i nodi siano registrati nell'organizzazione, ma non gestiranno il traffico. Pertanto, i nodi del centro dati standby rimangono sempre aggiornati con l'ultima versione del software HDS.


                                                                                                                                                   

                                                                                                                                                  I nodi di sicurezza dei dati ibridi attivi devono essere sempre nello stesso centro dati del server di database attivo.

                                                                                                                                                  Imposta centro dati standby per ripristino di emergenza

                                                                                                                                                  Effettuare le seguenti operazioni per configurare il file ISO del centro dati standby:

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Il centro dati standby deve rispecchiare l'ambiente di produzione delle VM e un database PostgreSQL o Microsoft SQL Server di backup. Ad esempio, se la produzione dispone di 3 VM con nodi HDS in esecuzione, l'ambiente di backup deve disporre di 3 VM (vedere Centro dati standby per ripristino di emergenza per una panoramica di questo modello di failover).

                                                                                                                                                  • Accertarsi che la sincronizzazione del database sia abilitata tra il database dei nodi cluster attivi e passivi.

                                                                                                                                                  1

                                                                                                                                                  Avviare lo strumento di impostazione HDS e seguire la procedura indicata in Crea una configurazione ISO per gli host HDS.


                                                                                                                                                   

                                                                                                                                                  Il file ISO deve essere una copia del file ISO originale del data center principale su cui devono essere effettuati i seguenti aggiornamenti di configurazione.

                                                                                                                                                  2

                                                                                                                                                  Dopo aver configurato il server Syslogd, fare clic su Impostazioni avanzate

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Impostazioni avanzate, aggiungi la configurazione seguente per posizionare il nodo in modalità passiva. In questa modalità, il nodo verrà registrato nell'organizzazione e connesso al cloud, ma non gestirà alcun traffico.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completa il processo di configurazione e salva il file ISO in una posizione facile da trovare.

                                                                                                                                                  5

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale. Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  6

                                                                                                                                                  Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic con il pulsante destro del mouse sulla VM e fare clic su Modifica impostazioni.

                                                                                                                                                  7

                                                                                                                                                  Fare clic su Modifica impostazioni >Unità CD/DVD 1 e selezionare Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Accertarsi che Connected e Connect all'accensione siano controllati in modo che le modifiche di configurazione aggiornate possano avere effetto dopo l'avvio dei nodi.

                                                                                                                                                  8

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 15 minuti.

                                                                                                                                                  9

                                                                                                                                                  Ripetere la procedura per ogni nodo nel centro dati standby.


                                                                                                                                                   

                                                                                                                                                  Controllare i registri di sistema per verificare che i nodi siano in modalità passiva. È necessario essere in grado di visualizzare il messaggio "KMS configurato in modalità passiva" nei registri di sistema.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Dopo la configurazione passiveMode nel file ISO e salvarlo, è possibile creare un'altra copia del file ISO senza il passiveMode configurazione e salvarla in una posizione sicura. Questa copia del file ISO senza passiveMode configurato può essere di aiuto in un rapido processo di failover durante il ripristino di emergenza. Vedere Ripristino di emergenza utilizzando il centro dati standby per la procedura di failover dettagliata.

                                                                                                                                                  Supporto proxy

                                                                                                                                                  La sicurezza dei dati ibridi supporta proxy espliciti, trasparenti e non ispezionati. È possibile associare questi proxy alla distribuzione in modo da poter proteggere e monitorare il traffico dall'azienda al cloud. È possibile utilizzare un'interfaccia di amministrazione della piattaforma sui nodi per la gestione dei certificati e per controllare lo stato generale della connettività dopo aver impostare il proxy sui nodi.

                                                                                                                                                  I nodi di sicurezza dei dati ibridi supportano le seguenti opzioni proxy:

                                                                                                                                                  • Nessun proxy: impostazione predefinita se non si utilizza la configurazione Trust Store e Proxy del nodo HDS per integrare un proxy. Nessun aggiornamento del certificato richiesto.

                                                                                                                                                  • Proxy non ispezionato trasparente: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non devono richiedere modifiche per lavorare con un proxy non ispezionato. Nessun aggiornamento del certificato richiesto.

                                                                                                                                                  • Tunneling trasparente o ispezione del proxy: i nodi non sono configurati per utilizzare un indirizzo del server proxy specifico. Nessuna modifica di configurazione HTTP o HTTPS è necessaria sui nodi. Tuttavia, i nodi necessitano di un certificato radice in modo che si fidino del proxy. Le deleghe di ispezione vengono solitamente utilizzate dal reparto IT per attuare politiche su cui i siti web possono essere visitati e su quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).

                                                                                                                                                  • Proxy esplicito: con il proxy esplicito, indicare ai nodi HDS quale server proxy e schema di autenticazione utilizzare. Per configurare un proxy esplicito, è necessario immettere le seguenti informazioni su ciascun nodo:

                                                                                                                                                    1. IP/FQDN proxy: indirizzo che può essere utilizzato per raggiungere la macchina proxy.

                                                                                                                                                    2. Porta proxy: un numero di porta utilizzato dal proxy per ascoltare il traffico proxy.

                                                                                                                                                    3. Protocollo proxy: a seconda del supporto del server proxy, scegliere tra i seguenti protocolli:

                                                                                                                                                      • HTTP: visualizza e controlla tutte le richieste inviate dal client.

                                                                                                                                                      • HTTPS: fornisce un canale al server. Il client riceve e convalida il certificato del server.

                                                                                                                                                    4. Tipo di autenticazione: scegliere uno dei seguenti tipi di autenticazione:

                                                                                                                                                      • Nessuno: non è richiesta alcuna ulteriore autenticazione.

                                                                                                                                                        Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

                                                                                                                                                      • Base: utilizzato per un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

                                                                                                                                                        Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

                                                                                                                                                        Richiede di immettere il nome utente e la password su ciascun nodo.

                                                                                                                                                      • Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e la password prima dell'invio tramite la rete.

                                                                                                                                                        Disponibile solo se si seleziona HTTPS come protocollo proxy.

                                                                                                                                                        Richiede di immettere il nome utente e la password su ciascun nodo.

                                                                                                                                                  Esempio di nodi e proxy di sicurezza dei dati ibridi

                                                                                                                                                  Questo diagramma mostra un esempio di connessione tra sicurezza dati ibridi, rete e proxy. Per le opzioni proxy di ispezione trasparente e di ispezione esplicita HTTPS, è necessario installare lo stesso certificato radice sul proxy e sui nodi di sicurezza dei dati ibridi.

                                                                                                                                                  Modalità di risoluzione DNS esterna bloccata (configurazioni proxy esplicite)

                                                                                                                                                  Quando si registra un nodo o si controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud Cisco Webex. Nelle distribuzioni con configurazioni proxy esplicite che non consentono la risoluzione DNS esterna per client interni, se il nodo non riesce a interrogare i server DNS, passa automaticamente in modalità di risoluzione DNS esterna bloccata. In questa modalità, è possibile continuare con la registrazione del nodo e altri test di connettività proxy.

                                                                                                                                                  Preparazione dell'ambiente

                                                                                                                                                  Requisiti per la sicurezza dei dati ibridi

                                                                                                                                                  Requisiti della licenza Cisco Webex

                                                                                                                                                  Per distribuire la sicurezza dei dati ibridi:

                                                                                                                                                  Requisiti desktop docker

                                                                                                                                                  Prima di installare i nodi HDS, è necessario Docker Desktop per eseguire un programma di impostazione. Docker ha recentemente aggiornato il modello di licenza. La tua organizzazione potrebbe richiedere un abbonamento a pagamento per Docker Desktop. Per informazioni dettagliate, vedi il post di blog Docker, " Docker sta aggiornando ed estendendo gli abbonamenti dei prodotti ".

                                                                                                                                                  Requisiti di certificato X.509

                                                                                                                                                  La catena di certificati deve soddisfare i seguenti requisiti:

                                                                                                                                                  Tabella 1. Requisiti di certificato X.509 per la distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Requisito

                                                                                                                                                  Dettagli

                                                                                                                                                  • Firmato da un'autorità di certificazione attendibile (CA)

                                                                                                                                                  Per impostazione predefinita, ci affidiamo alle CA presenti nella lista Mozilla (ad eccezione di WoSign e StartCom) su https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Contiene un nome di dominio nome comune (CN) che identifica la distribuzione di Hybrid Data Security

                                                                                                                                                  • Non è un certificato jolly

                                                                                                                                                  Il CN non deve essere raggiungibile o un organizzatore in diretta. Si consiglia di utilizzare un nome che rifletta la propria organizzazione, ad esempio, hds.company.com.

                                                                                                                                                  Il CN non deve contenere un * (carattere jolly).

                                                                                                                                                  Il CN viene utilizzato per verificare i nodi di sicurezza dei dati ibridi nei client dell'app Webex. Tutti i nodi di sicurezza dei dati ibridi nel cluster utilizzano lo stesso certificato. Il tuo KMS si identifica utilizzando il dominio CN, non qualsiasi dominio definito nei campi x.509v3 SAN.

                                                                                                                                                  Una volta registrato un nodo con questo certificato, non è possibile modificare il nome del dominio CN. Scegliere un dominio che possa essere applicato sia alle distribuzioni di prova che a quelle di produzione.

                                                                                                                                                  • Firma non SHA1

                                                                                                                                                  Il software KMS non supporta le firme SHA1 per la convalida delle connessioni ai KMS di altre organizzazioni.

                                                                                                                                                  • Formattato come file PKCS #12 protetto da password

                                                                                                                                                  • Usa il nome amichevole di kms-private-key per contrassegnare il certificato, la chiave privata e qualsiasi certificato intermedio da caricare.

                                                                                                                                                  È possibile utilizzare un convertitore come OpenSSL per modificare il formato del certificato.

                                                                                                                                                  Quando si esegue lo strumento di impostazione HDS, è necessario immettere la password.

                                                                                                                                                  Il software KMS non applica l'utilizzo delle chiavi o vincoli di utilizzo delle chiavi estesi. Alcune autorità di certificazione richiedono l'applicazione di vincoli di utilizzo chiave estesi a ciascun certificato, come l'autenticazione del server. È possibile utilizzare l'autenticazione del server o altre impostazioni.

                                                                                                                                                  Requisiti organizzatore virtuale

                                                                                                                                                  Gli organizzatori virtuali che verranno impostati come nodi di sicurezza dei dati ibridi nel cluster presentano i seguenti requisiti:

                                                                                                                                                  • Almeno due organizzatori separati (3 consigliati) coposizionati nello stesso centro dati sicuro

                                                                                                                                                  • VMware ESXi 6.5 (o versioni successive) installato e in esecuzione.


                                                                                                                                                     

                                                                                                                                                    È necessario eseguire l'aggiornamento se si dispone di una versione precedente di ESXi.

                                                                                                                                                  • Minimo 4 vCPU, memoria principale da 8 GB, spazio su disco rigido locale da 30 GB per server

                                                                                                                                                  Requisiti server database


                                                                                                                                                   

                                                                                                                                                  Creare un nuovo database per lo storage delle chiavi. Non utilizzare il database predefinito. Le applicazioni HDS, una volta installate, creano lo schema del database.

                                                                                                                                                  Sono disponibili due opzioni per il server del database. I requisiti per ciascuno di essi sono i seguenti:

                                                                                                                                                  Tabella 2. Requisiti del server di database per tipo di database

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  • PostgreSQL 14, 15 o 16, installato e in esecuzione.

                                                                                                                                                  • SQL Server 2016, 2017 o 2019 (Enterprise o Standard) installato.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 richiede il Service Pack 2 e l'aggiornamento cumulativo 2 o successivo.

                                                                                                                                                  Minimo 8 vCPU, memoria principale 16-GB, spazio su disco rigido sufficiente e monitoraggio per assicurarsi che non venga superato (2-TB consigliato se si desidera eseguire il database per un lungo periodo di tempo senza dover aumentare lo storage)

                                                                                                                                                  Minimo 8 vCPU, memoria principale 16-GB, spazio su disco rigido sufficiente e monitoraggio per assicurarsi che non venga superato (2-TB consigliato se si desidera eseguire il database per un lungo periodo di tempo senza dover aumentare lo storage)

                                                                                                                                                  Il software HDS attualmente installa le seguenti versioni del driver per la comunicazione con il server del database:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  Driver Postgres JDBC 42.2.5

                                                                                                                                                  Driver JDBC server SQL 4.6

                                                                                                                                                  Questa versione del driver supporta SQL Server Always On (istanze cluster di failover Always On e gruppi di disponibilità Always On).

                                                                                                                                                  Requisiti aggiuntivi per l'autenticazione Windows rispetto a Microsoft SQL Server

                                                                                                                                                  Se si desidera che i nodi HDS utilizzino l'autenticazione Windows per accedere al database dei keystore su Microsoft SQL Server, è necessaria la seguente configurazione nel proprio ambiente:

                                                                                                                                                  • I nodi HDS, l'infrastruttura Active Directory e il server MS SQL devono essere tutti sincronizzati con NTP.

                                                                                                                                                  • L'account Windows fornito ai nodi HDS deve disporre dell'accesso in lettura/scrittura al database.

                                                                                                                                                  • I server DNS forniti ai nodi HDS devono essere in grado di risolvere il Key Distribution Center (KDC).

                                                                                                                                                  • È possibile registrare l'istanza del database HDS su Microsoft SQL Server come SPN (Service Principal Name) in Active Directory. Vedere Registrazione di un nome principale del servizio per le connessioni Kerberos.

                                                                                                                                                    Lo strumento di impostazione HDS, HDS launcher e KMS locali devono tutti utilizzare l'autenticazione Windows per accedere al database del keystore. Utilizzano i dettagli della configurazione ISO per costruire l'SPN quando si richiede l'accesso con autenticazione Kerberos.

                                                                                                                                                  Requisiti di connettività esterna

                                                                                                                                                  Configurare il firewall per consentire la seguente connettività per le applicazioni HDS:

                                                                                                                                                  Applicazione

                                                                                                                                                  Protocol

                                                                                                                                                  Porta

                                                                                                                                                  Direzione dall'app

                                                                                                                                                  Destinazione

                                                                                                                                                  Nodi di sicurezza dati ibridi

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS e WSS in uscita

                                                                                                                                                  • Server Webex:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Tutti gli organizzatori Common Identity

                                                                                                                                                  • Altri URL elencati per la sicurezza dei dati ibridi nella tabella degli URL aggiuntivi per i servizi ibridi Webex dei requisiti di rete per i servizi Webex

                                                                                                                                                  Strumento di impostazione HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS in uscita

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Tutti gli organizzatori Common Identity

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  I nodi di sicurezza dei dati ibridi funzionano con la traduzione dell'accesso alla rete (NAT) o dietro un firewall, a condizione che il NAT o il firewall consentano le connessioni in uscita richieste alle destinazioni del dominio nella tabella precedente. Per le connessioni in ingresso ai nodi di sicurezza dei dati ibridi, nessuna porta deve essere visibile da Internet. All'interno del centro dati, i client devono accedere ai nodi di sicurezza dei dati ibridi sulle porte TCP 443 e 22 per fini amministrativi.

                                                                                                                                                  Gli URL per gli host Common Identity (CI) sono specifici della regione. Questi sono gli host CI correnti:

                                                                                                                                                  Regione

                                                                                                                                                  URL host identità comune

                                                                                                                                                  Americhe

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Unione Europea

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Canada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Requisiti server proxy

                                                                                                                                                  • Sono supportate ufficialmente le seguenti soluzioni proxy che possono essere integrate con i nodi di sicurezza dei dati ibridi.

                                                                                                                                                  • Sono supportate le seguenti combinazioni di tipi di autenticazione per proxy espliciti:

                                                                                                                                                    • Nessuna autenticazione con HTTP o HTTPS

                                                                                                                                                    • Autenticazione di base con HTTP o HTTPS

                                                                                                                                                    • Autenticazione del digest solo con HTTPS

                                                                                                                                                  • Per un proxy di ispezione trasparente o un proxy esplicito HTTPS, è necessario disporre di una copia del certificato radice del proxy. Le istruzioni di distribuzione in questa guida indicano come caricare la copia negli archivi attendibilità dei nodi di sicurezza dei dati ibridi.

                                                                                                                                                  • È necessario configurare la rete che ospita i nodi HDS per forzare il traffico TCP in uscita sulla porta 443 per l'indirizzamento attraverso il proxy.

                                                                                                                                                  • I proxy che controllano il traffico Web possono interferire con le connessioni dei socket Web. Se si verifica questo problema, aggirare (non ispezionare) il traffico verso wbx2.com e ciscospark.com risolverà il problema.

                                                                                                                                                  Completamento dei prerequisiti per la sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare questa lista di controllo per assicurarsi di essere pronti a installare e configurare il cluster di sicurezza dei dati ibridi.
                                                                                                                                                  1

                                                                                                                                                  Accertarsi che l'organizzazione Webex sia abilitata per Pro Pack per Cisco Webex Control Hub e ottenere le credenziali di un account con diritti di amministratore dell'organizzazione completi. Contattare il partner Cisco o l'account manager per assistenza con questo processo.

                                                                                                                                                  2

                                                                                                                                                  Scegliere un nome di dominio per la distribuzione HDS (ad esempio, hds.company.com) e ottenere una catena di certificati contenente un certificato X.509, chiave privata e qualsiasi certificato intermedio. La catena di certificati deve soddisfare i requisiti di Requisiti di certificato X.509.

                                                                                                                                                  3

                                                                                                                                                  Preparare host virtuali identici che verranno impostati come nodi di sicurezza dei dati ibridi nel cluster. Sono necessari almeno due organizzatori separati (3 consigliati) coposizionati nello stesso centro dati sicuro, che soddisfano i requisiti dei requisiti dell'organizzatore virtuale.

                                                                                                                                                  4

                                                                                                                                                  Preparare il server del database che fungerà da archivio dati chiave per il cluster, in base ai requisiti del server del database. Il server del database deve essere co-posizionato nel centro dati sicuro con gli host virtuali.

                                                                                                                                                  1. Creare un database per lo storage delle chiavi. (È necessario creare questo database; non utilizzare il database predefinito. Le applicazioni HDS, una volta installate, creano lo schema del database.)

                                                                                                                                                  2. Raccogliere i dettagli che i nodi utilizzeranno per comunicare con il server del database:

                                                                                                                                                    • nome host o indirizzo IP (host) e porta

                                                                                                                                                    • nome del database (dbname) per l'archiviazione chiave

                                                                                                                                                    • nome utente e password di un utente con tutti i privilegi nel database di memorizzazione delle chiavi

                                                                                                                                                  5

                                                                                                                                                  Per un rapido ripristino di emergenza, impostare un ambiente di backup in un centro dati diverso. L'ambiente di backup rispecchia l'ambiente di produzione delle VM e un server di database di backup. Ad esempio, se la produzione dispone di 3 VM con nodi HDS in esecuzione, l'ambiente di backup deve disporre di 3 VM.

                                                                                                                                                  6

                                                                                                                                                  Impostare un host syslog per raccogliere i registri dai nodi nel cluster. Raccogliere l'indirizzo di rete e la porta syslog (l'impostazione predefinita è UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Creare un criterio di backup sicuro per i nodi di sicurezza dei dati ibridi, il server di database e l'host syslog. Come minimo, per evitare perdite di dati non recuperabili, è necessario eseguire il backup del database e del file ISO di configurazione generato per i nodi di sicurezza dei dati ibridi.


                                                                                                                                                   

                                                                                                                                                  Poiché i nodi Hybrid Data Security memorizzano le chiavi utilizzate nella crittografia e decrittografia del contenuto, la mancata gestione di una distribuzione operativa comporterà la PERDITA IRRECUPERABILE di tale contenuto.

                                                                                                                                                  I client dell'app Webex memorizzano nella cache le proprie chiavi, pertanto un'interruzione potrebbe non essere immediatamente evidente, ma diventerà evidente nel tempo. Mentre le interruzioni temporanee sono impossibili da prevenire, sono recuperabili. Tuttavia, la perdita completa (nessun backup disponibile) del database o del file ISO di configurazione determinerà dati cliente non recuperabili. Gli operatori dei nodi di sicurezza dei dati ibridi sono tenuti a mantenere frequenti backup del database e del file ISO di configurazione, ed essere preparati a ricostruire il centro dati di sicurezza dei dati ibridi se si verifica un errore catastrofico.

                                                                                                                                                  8

                                                                                                                                                  Assicurarsi che la configurazione del firewall consenta la connettività per i nodi Hybrid Data Security come descritto nei requisiti di connettività esterna.

                                                                                                                                                  9

                                                                                                                                                  Installare il Docker ( https://www.docker.com) su qualsiasi macchina locale che esegue un sistema operativo supportato (Microsoft Windows 10 Professional o Enterprise 64 bit o Mac OSX Yosemite 10.10.3 o superiore) con un browser Web che può accedervi su http://127.0.0.1:8080.

                                                                                                                                                  Utilizzare l'istanza Docker per scaricare ed eseguire lo strumento di impostazione HDS, che crea le informazioni di configurazione locali per tutti i nodi di sicurezza dei dati ibridi. La tua organizzazione potrebbe aver bisogno di una licenza Docker Desktop. Per ulteriori informazioni, vedere Requisiti desktop docker.

                                                                                                                                                  Per installare ed eseguire lo strumento di impostazione HDS, la macchina locale deve disporre della connettività descritta nei requisiti di connettività esterna.

                                                                                                                                                  10

                                                                                                                                                  Se si sta integrando un proxy con la sicurezza dei dati ibridi, assicurarsi che soddisfi i Requisiti del server proxy.

                                                                                                                                                  11

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche, creare un gruppo in Active Directory chiamato HdsTrialGroup e aggiungere gli utenti pilota. Il gruppo di prova può contenere fino a 250 utenti. Il HdsTrialGroup oggetto deve essere sincronizzato con il cloud prima di poter avviare una versione di prova per la propria organizzazione. Per sincronizzare un oggetto di gruppo, selezionarlo in Connettore directory Configurazione > menu Selezione oggetto. (Per istruzioni dettagliate, vedere la Guida alla distribuzione per Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Le chiavi per un determinato spazio sono impostate dal creatore dello spazio. Quando si selezionano gli utenti pilota, tenere presente che se si decide di disattivare in modo permanente la distribuzione di sicurezza dei dati ibridi, tutti gli utenti perderanno l'accesso al contenuto negli spazi creati dagli utenti pilota. La perdita diventa evidente non appena le app degli utenti aggiornano le copie memorizzate nella cache del contenuto.

                                                                                                                                                  Impostazione di un cluster di sicurezza dei dati ibridi

                                                                                                                                                  Flusso attività distribuzione sicurezza dati ibridi

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Preparazione dell'ambiente

                                                                                                                                                  1

                                                                                                                                                  Scarica file di installazione

                                                                                                                                                  Scaricare il file OVA sulla macchina locale per utilizzarlo successivamente.

                                                                                                                                                  2

                                                                                                                                                  Creazione di un ISO di configurazione per gli host HDS

                                                                                                                                                  Utilizzare lo strumento di impostazione HDS per creare un file di configurazione ISO per i nodi di sicurezza dei dati ibridi.

                                                                                                                                                  3

                                                                                                                                                  Installazione del file OVA organizzatore HDS

                                                                                                                                                  Creare una macchina virtuale dal file OVA ed eseguire la configurazione iniziale, come le impostazioni di rete.


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  4

                                                                                                                                                  Impostazione della sicurezza dei dati ibridi VM

                                                                                                                                                  Accedere alla console VM e impostare le credenziali di accesso. Configura le impostazioni di rete per il nodo se non le hai configurate al momento della distribuzione OVA.

                                                                                                                                                  5

                                                                                                                                                  Caricamento e montaggio della configurazione HDS ISO

                                                                                                                                                  Configurare la VM dal file di configurazione ISO creato con lo strumento di impostazione HDS.

                                                                                                                                                  6

                                                                                                                                                  Configurazione del nodo HDS per l'integrazione proxy

                                                                                                                                                  Se l'ambiente di rete richiede la configurazione del proxy, specificare il tipo di proxy che verrà utilizzato per il nodo e aggiungere il certificato proxy all'archivio attendibilità, se necessario.

                                                                                                                                                  7

                                                                                                                                                  Registrazione del primo nodo nel cluster

                                                                                                                                                  Registrare la VM con il cloud Cisco Webex come nodo di sicurezza dei dati ibridi.

                                                                                                                                                  8

                                                                                                                                                  Creazione e registrazione di altri nodi

                                                                                                                                                  Completare l'impostazione del cluster.

                                                                                                                                                  9

                                                                                                                                                  Eseguire una versione di prova e passare alla produzione (capitolo successivo)

                                                                                                                                                  Fino a quando non si avvia una versione di prova, i nodi generano un allarme a indicare che il servizio non è ancora attivato.

                                                                                                                                                  Scarica file di installazione

                                                                                                                                                  In questa attività, è possibile scaricare un file OVA sulla macchina (non sui server configurati come nodi di sicurezza dei dati ibridi). Utilizzare questo file in seguito nel processo di installazione.
                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com, quindi fare clic su Servizi.

                                                                                                                                                  2

                                                                                                                                                  Nella sezione Servizi ibridi, trovare la scheda di sicurezza dei dati ibridi, quindi fare clic su Imposta.

                                                                                                                                                  Se la scheda è disabilitata o non viene visualizzata, contattare il team dell'account o l'organizzazione partner. Fornisci il tuo numero di account e chiedi di abilitare la sicurezza dei dati ibridi per la tua organizzazione. Per trovare il numero di account, fare clic sull'ingranaggio in alto a destra accanto al nome dell'organizzazione.


                                                                                                                                                   

                                                                                                                                                  È inoltre possibile scaricare il file OVA in qualsiasi momento dalla sezione Guida della pagina Impostazioni. Nella scheda Sicurezza dati ibridi, fare clic su Modifica impostazioni per aprire la pagina. Quindi, fare clic su Scarica software di sicurezza dati ibridi nella sezione Guida .


                                                                                                                                                   

                                                                                                                                                  Le versioni precedenti del pacchetto software (OVA) non saranno compatibili con gli ultimi aggiornamenti di sicurezza dati ibridi. Ciò può provocare problemi durante l'aggiornamento dell'applicazione. Accertarsi di scaricare l'ultima versione del file OVA.

                                                                                                                                                  3

                                                                                                                                                  Seleziona No per indicare che non hai ancora impostato il nodo, quindi fai clic su Avanti.

                                                                                                                                                  Il file OVA inizia automaticamente al download. Salvare il file in una posizione sulla macchina.
                                                                                                                                                  4

                                                                                                                                                  Opzionalmente, fare clic su Apri guida alla distribuzione per verificare se è disponibile una versione successiva di questa guida.

                                                                                                                                                  Creazione di un ISO di configurazione per gli host HDS

                                                                                                                                                  Il processo di impostazione della sicurezza dei dati ibridi crea un file ISO. Quindi, utilizzare l'ISO per configurare l'host Hybrid Data Security.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Lo strumento di impostazione HDS viene eseguito come contenitore Docker su una macchina locale. Per accedervi, eseguire Docker su tale macchina. Il processo di impostazione richiede le credenziali di un account Control Hub con diritti di amministratore completi per l'organizzazione.

                                                                                                                                                    Se lo strumento di impostazione HDS viene eseguito dietro un proxy nel proprio ambiente, fornire le impostazioni del proxy (server, porta, credenziali) attraverso le variabili di ambiente Docker quando si solleva il contenitore Docker al punto 5. Questa tabella fornisce alcune possibili variabili di ambiente:

                                                                                                                                                    Descrizione

                                                                                                                                                    Variabile

                                                                                                                                                    proxy HTTP senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    proxy HTTP con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Il file ISO di configurazione generato contiene la chiave principale che crittografa il database PostgreSQL o Microsoft SQL Server. È necessaria l'ultima copia di questo file ogni volta che si apportano modifiche di configurazione, come queste:

                                                                                                                                                    • Credenziali del database

                                                                                                                                                    • Aggiornamenti dei certificati

                                                                                                                                                    • Modifiche ai criteri di autorizzazione

                                                                                                                                                  • Se si intende crittografare le connessioni al database, impostare la distribuzione di PostgreSQL o SQL Server per TLS.

                                                                                                                                                  1

                                                                                                                                                  Nella riga di comando della macchina, immettere il comando appropriato per l'ambiente:

                                                                                                                                                  In ambienti normali:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  In ambienti FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Questo passaggio ripulisce le immagini precedenti dello strumento di impostazione HDS. Se non sono presenti immagini precedenti, viene restituito un errore che può essere ignorato.

                                                                                                                                                  2

                                                                                                                                                  Per accedere al registro immagini Docker, immettere quanto segue:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  Alla richiesta della password, immettere questo hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Scaricare l'immagine stabile più recente per il proprio ambiente:

                                                                                                                                                  In ambienti normali:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  In ambienti FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Al termine del pull, immettere il comando appropriato per l'ambiente:

                                                                                                                                                  • In ambienti normali senza proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti normali con un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti normali con un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti FedRAMP senza proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • In ambienti FedRAMP con un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • In ambienti FedRAMP con un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Quando il contenitore è in esecuzione, viene visualizzato il messaggio "server Express in attesa sulla porta 8080".

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Lo strumento Imposta non supporta la connessione a localhost tramite http://localhost:8080. Usa http://127.0.0.1:8080 per connetterti a localhost.

                                                                                                                                                  Utilizzare un browser Web per passare all'host locale, http://127.0.0.1:8080 e immettere il nome utente di amministrazione cliente per Control Hub al prompt.

                                                                                                                                                  Lo strumento utilizza questa prima voce del nome utente per impostare l'ambiente appropriato per tale account. Lo strumento visualizza la richiesta di accesso standard.

                                                                                                                                                  7

                                                                                                                                                  Quando richiesto, inserisci le credenziali di accesso amministratore cliente Control Hub, quindi fai clic su Accedi per consentire l'accesso ai servizi richiesti per la sicurezza dei dati ibridi.

                                                                                                                                                  8

                                                                                                                                                  Nella pagina di panoramica dello Strumento di impostazione, fare clic su Introduzione.

                                                                                                                                                  9

                                                                                                                                                  Nella pagina Importazione ISO sono disponibili le seguenti opzioni:

                                                                                                                                                  • No: se stai creando il tuo primo nodo HDS, non disponi di un file ISO da caricare.
                                                                                                                                                  • : se sono già stati creati nodi HDS, selezionare il file ISO nel browser e caricarlo.
                                                                                                                                                  10

                                                                                                                                                  Verificare che il certificato X.509 soddisfi i requisiti di Requisiti di certificato X.509.

                                                                                                                                                  • Se non è mai stato caricato un certificato prima, caricare il certificato X.509, immettere la password e fare clic su Continua.
                                                                                                                                                  • Se il certificato è OK, fare clic su Continua.
                                                                                                                                                  • Se il certificato è scaduto o si desidera sostituirlo, selezionare No per Continua a utilizzare la catena di certificati HDS e la chiave privata della precedente ISO?. Caricare un nuovo certificato X.509, immettere la password e fare clic su Continua.
                                                                                                                                                  11

                                                                                                                                                  Inserire l'indirizzo del database e l'account per HDS per accedere al datastore della chiave:

                                                                                                                                                  1. Selezionare il tipo di database (PostgreSQL o Microsoft SQL Server).

                                                                                                                                                    Se si sceglie Microsoft SQL Server, viene visualizzato un campo Tipo di autenticazione.

                                                                                                                                                  2. (solo Microsoft SQL Server) Selezionare il tipo di autenticazione:

                                                                                                                                                    • Autenticazione di base: È necessario un nome di account SQL Server locale nel campo Nome utente.

                                                                                                                                                    • Autenticazione di Windows: È necessario un account Windows nel formato username@DOMAIN nel campo Nome utente.

                                                                                                                                                  3. Immettere l'indirizzo del server del database nel modulo <hostname>:<port> o <IP-address>:<port>.

                                                                                                                                                    Esempio:
                                                                                                                                                    dbhost.example.org:1433 o 198.51.100.17:1433

                                                                                                                                                    È possibile utilizzare un indirizzo IP per l'autenticazione di base, se i nodi non possono utilizzare il DNS per risolvere il nome host.

                                                                                                                                                    Se si utilizza l'autenticazione Windows, è necessario immettere un nome di dominio completo nel formato dbhost.example.org:1433

                                                                                                                                                  4. Immettere il nome del database.

                                                                                                                                                  5. Immettere il nome utente e la password di un utente con tutti i privilegi nel database di storage dei tasti.

                                                                                                                                                  12

                                                                                                                                                  Selezionare una modalità di connessione al database TLS:

                                                                                                                                                  Mode

                                                                                                                                                  Descrizione

                                                                                                                                                  Preferire TLS (opzione predefinita)

                                                                                                                                                  I nodi HDS non richiedono che TLS si connetta al server del database. Se si abilita TLS sul server del database, i nodi tentano una connessione crittografata.

                                                                                                                                                  Richiedi TLS

                                                                                                                                                  I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  Require TLS e verificare il firmatario del certificato


                                                                                                                                                   

                                                                                                                                                  Questa modalità non è applicabile ai database del server SQL.

                                                                                                                                                  • I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  • Dopo aver stabilito una connessione TLS, il nodo confronta il firmatario del certificato dal server del database con l'autorità di certificazione nel certificato principale del database. Se non corrispondono, il nodo interrompe la connessione.

                                                                                                                                                  Utilizzare il certificato radice database sotto l'elenco a discesa per caricare il certificato radice per questa opzione.

                                                                                                                                                  Require TLS e verificare il firmatario del certificato e il nome host

                                                                                                                                                  • I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  • Dopo aver stabilito una connessione TLS, il nodo confronta il firmatario del certificato dal server del database con l'autorità di certificazione nel certificato principale del database. Se non corrispondono, il nodo interrompe la connessione.

                                                                                                                                                  • I nodi verificano anche che il nome host nel certificato del server corrisponda al nome host nel campo Host database e porta. I nomi devono corrispondere esattamente oppure il nodo interrompe la connessione.

                                                                                                                                                  Utilizzare il certificato radice database sotto l'elenco a discesa per caricare il certificato radice per questa opzione.

                                                                                                                                                  Quando si carica il certificato radice (se necessario) e si fa clic su Continua, lo strumento di impostazione HDS verifica la connessione TLS al server del database. Lo strumento verifica anche il firmatario del certificato e il nome host, se applicabile. Se un test non viene superato, lo strumento visualizza un messaggio di errore descrive il problema. È possibile scegliere di ignorare l'errore e continuare con l'impostazione. A causa delle differenze di connettività, i nodi HDS potrebbero essere in grado di stabilire la connessione TLS anche se la macchina dello strumento di impostazione HDS non può testarla correttamente.

                                                                                                                                                  13

                                                                                                                                                  Nella pagina Registri di sistema, configurare il server Syslogd:

                                                                                                                                                  1. Immettere l'URL del server syslog.

                                                                                                                                                    Se il server non è risolvibile con DNS dai nodi per il cluster HDS, utilizzare un indirizzo IP nell'URL.

                                                                                                                                                    Esempio:
                                                                                                                                                    udp://10.92.43.23:514 indica l'accesso all'host Syslogd 10.92.43.23 sulla porta UDP 514.
                                                                                                                                                  2. Se si imposta il server per utilizzare la crittografia TLS, verificare che Il server syslog sia configurato per la crittografia SSL?.

                                                                                                                                                    Se si seleziona questa casella di controllo, accertarsi di inserire un URL TCP come tcp://10.92.43.23:514.

                                                                                                                                                  3. Dal menu a discesa Scegli terminazione record syslog, scegli l'impostazione appropriata per il tuo file ISO: Scegli o Newline viene utilizzato per Graylog e Rsyslog TCP

                                                                                                                                                    • Byte nullo -- \x00

                                                                                                                                                    • Newline -- \n—Selezionare questa scelta per Graylog e Rsyslog TCP.

                                                                                                                                                  4. Fare clic su Continua.

                                                                                                                                                  14

                                                                                                                                                  (Opzionale) È possibile modificare il valore predefinito per alcuni parametri di connessione al database in Impostazioni avanzate. In generale, questo parametro è l'unico parametro che si potrebbe voler modificare:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Fare clic su Continua nella schermata Reimposta password account di servizio.

                                                                                                                                                  Le password degli account di servizio hanno una durata di nove mesi. Utilizzare questa schermata quando le password sono prossime alla scadenza o si desidera reimpostarle per invalidare i file ISO precedenti.

                                                                                                                                                  16

                                                                                                                                                  Fare clic su Scarica file ISO. Salva il file in una posizione facile da trovare.

                                                                                                                                                  17

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale.

                                                                                                                                                  Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  18

                                                                                                                                                  Per chiudere lo strumento di installazione, digitare CTRL+C.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Eseguire il backup del file ISO di configurazione. È necessario creare più nodi per il ripristino o apportare modifiche alla configurazione. Se si perdono tutte le copie del file ISO, si perde anche la chiave principale. Non è possibile recuperare le chiavi dal database PostgreSQL o Microsoft SQL Server.


                                                                                                                                                   

                                                                                                                                                  Non abbiamo mai una copia di questa chiave e non possiamo aiutarti se la perdi.

                                                                                                                                                  Installazione del file OVA organizzatore HDS

                                                                                                                                                  Utilizzare questa procedura per creare una macchina virtuale dal file OVA.
                                                                                                                                                  1

                                                                                                                                                  Utilizzare il client VMware vSphere sul computer per accedere all'host virtuale ESXi.

                                                                                                                                                  2

                                                                                                                                                  Selezionare File > Distribuisci modello OVF.

                                                                                                                                                  3

                                                                                                                                                  Nella procedura guidata, specificare la posizione del file OVA scaricato in precedenza, quindi fare clic su Successivo.

                                                                                                                                                  4

                                                                                                                                                  Il Seleziona un nome e una cartella pagina , inserisci un Nome macchina virtuale per il nodo (ad esempio, "HDS_Node_1"), scegliere una posizione in cui può risiedere la distribuzione del nodo della macchina virtuale, quindi fare clic su Successivo.

                                                                                                                                                  5

                                                                                                                                                  Il Seleziona una risorsa di calcolo pagina , scegliere la risorsa di calcolo della destinazione, quindi fare clic su Successivo.

                                                                                                                                                  Viene eseguito un controllo di convalida. Al termine, vengono visualizzati i dettagli del modello.

                                                                                                                                                  6

                                                                                                                                                  Verificare i dettagli del modello, quindi fare clic su Avanti.

                                                                                                                                                  7

                                                                                                                                                  Se viene richiesto di scegliere la configurazione delle risorse in Configurazione pagina , fare clic su 4 CPU e fare clic su Successivo.

                                                                                                                                                  8

                                                                                                                                                  Il Seleziona storage pagina , fare clic su Successivo per accettare il formato di disco predefinito e i criteri di storage della VM.

                                                                                                                                                  9

                                                                                                                                                  Il Seleziona reti, scegliere l'opzione di rete dall'elenco di voci per fornire la connettività desiderata alla VM.

                                                                                                                                                  10

                                                                                                                                                  Nella pagina Personalizza modello, configurare le seguenti impostazioni di rete:

                                                                                                                                                  • Nome host: inserisci il nome host FQDN (nome host e dominio) o un nome host di singola parola per il nodo.

                                                                                                                                                     
                                                                                                                                                    • Non è necessario impostare il dominio in base al dominio utilizzato per ottenere il certificato X.509.

                                                                                                                                                    • Per garantire una registrazione corretta nel cloud, utilizza solo caratteri minuscoli nel nome host o FQDN impostato per il nodo. La capitalizzazione non è attualmente supportata.

                                                                                                                                                    • La lunghezza totale del nome di dominio completo non deve superare 64 caratteri.

                                                                                                                                                  • Indirizzo IP: immettere l'indirizzo IP per l'interfaccia interna del nodo.

                                                                                                                                                     

                                                                                                                                                    Il nodo deve disporre di un indirizzo IP interno e di un nome DNS. DHCP non è supportato.

                                                                                                                                                  • Maschera: immettere l'indirizzo della subnet mask in notazione dot decimale. ad esempio, 255.255.255.0.
                                                                                                                                                  • Gateway: immettere l'indirizzo IP del gateway. Un gateway è un nodo di rete che funge da punto di accesso a un'altra rete.
                                                                                                                                                  • Server DNS: immettere un elenco separato da virgole di server DNS, che gestiscono la traduzione dei nomi di dominio in indirizzi IP numerici. (Sono consentite fino a 4 voci DNS).
                                                                                                                                                  • Server NTP: inserire il server NTP della propria organizzazione o un altro server NTP esterno che può essere utilizzato nella propria organizzazione. I server NTP predefiniti potrebbero non funzionare per tutte le aziende. È inoltre possibile utilizzare un elenco separato da virgole per immettere più server NTP.
                                                                                                                                                  • Distribuire tutti i nodi sulla stessa subnet o VLAN, in modo che tutti i nodi in un cluster siano raggiungibili dai client nella rete per scopi amministrativi.

                                                                                                                                                  Se si preferisce, è possibile ignorare la configurazione delle impostazioni di rete e seguire la procedura riportata in Imposta la sicurezza dei dati ibridi VM per configurare le impostazioni dalla console del nodo.


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  11

                                                                                                                                                  Fare clic con il pulsante destro del mouse sulla VM del nodo, quindi scegliere Alimentazione > Accensione.

                                                                                                                                                  Il software di sicurezza dei dati ibridi è installato come ospite sull'host VM. A questo punto, è possibile accedere alla console e configurare il nodo.

                                                                                                                                                  Suggerimenti per la risoluzione dei problemi

                                                                                                                                                  È possibile che si verifichi un ritardo di alcuni minuti prima che i contenitori del nodo salgano. Un messaggio del firewall bridge viene visualizzato sulla console durante il primo avvio, durante il quale non è possibile accedere.

                                                                                                                                                  Impostazione della sicurezza dei dati ibridi VM

                                                                                                                                                  Utilizzare questa procedura per accedere per la prima volta alla console VM del nodo Hybrid Data Security e impostare le credenziali di accesso. È inoltre possibile utilizzare la console per configurare le impostazioni di rete per il nodo se non sono state configurate al momento della distribuzione OVA.

                                                                                                                                                  1

                                                                                                                                                  Nel client VMware vSphere, selezionare il nodo Hybrid Data Security VM e selezionare la scheda Console.

                                                                                                                                                  La VM si avvia e viene visualizzata una richiesta di accesso. Se il prompt di accesso non viene visualizzato, premere Invio.
                                                                                                                                                  2

                                                                                                                                                  Per accedere e modificare le credenziali, utilizzare le seguenti credenziali predefinite:

                                                                                                                                                  1. Login: admin

                                                                                                                                                  2. Password: cisco

                                                                                                                                                  Poiché si esegue l'accesso alla VM per la prima volta, è necessario modificare la password dell'amministratore.

                                                                                                                                                  3

                                                                                                                                                  Se sono già state configurate le impostazioni di rete in Install the HDS Host OVA, ignorare il resto di questa procedura. Altrimenti, nel menu principale, selezionare l'opzione Modifica configurazione.

                                                                                                                                                  4

                                                                                                                                                  Impostare una configurazione statica con indirizzo IP, maschera, gateway e informazioni DNS. Il nodo deve disporre di un indirizzo IP interno e di un nome DNS. DHCP non è supportato.

                                                                                                                                                  5

                                                                                                                                                  (Opzionale) Modificare il nome host, il dominio o i server NTP, se necessario per corrispondere ai criteri di rete.

                                                                                                                                                  Non è necessario impostare il dominio in base al dominio utilizzato per ottenere il certificato X.509.

                                                                                                                                                  6

                                                                                                                                                  Salvare la configurazione della rete e riavviare la VM in modo che le modifiche abbiano effetto.

                                                                                                                                                  Caricamento e montaggio della configurazione HDS ISO

                                                                                                                                                  Utilizzare questa procedura per configurare la macchina virtuale dal file ISO creato con lo strumento di impostazione HDS.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Poiché il file ISO contiene la chiave principale, deve essere esposto solo in base alla necessità di sapere, per l'accesso da parte delle VM di sicurezza dei dati ibridi e di qualsiasi amministratore che potrebbe aver bisogno di apportare modifiche. Accertarsi che solo gli amministratori possano accedere al datastore.

                                                                                                                                                  1

                                                                                                                                                  Caricare il file ISO dal computer:

                                                                                                                                                  1. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul server ESXi.

                                                                                                                                                  2. Nell'elenco hardware della scheda Configurazione, fare clic su Storage.

                                                                                                                                                  3. Nell'elenco dei datastore, fare clic con il pulsante destro del mouse sul datastore delle macchine virtuali e fare clic su Sfoglia datastore.

                                                                                                                                                  4. Fare clic sull’icona Carica file, quindi fare clic su Carica file.

                                                                                                                                                  5. Individuare la posizione in cui è stato scaricato il file ISO sul computer e fare clic su Apri.

                                                                                                                                                  6. Fare clic su per accettare l'avviso di caricamento/download e chiudere la finestra di dialogo del datastore.

                                                                                                                                                  2

                                                                                                                                                  Montare il file ISO:

                                                                                                                                                  1. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul pulsante destro del mouse sulla macchina virtuale, quindi fare clic su Modifica impostazioni.

                                                                                                                                                  2. Fare clic su OK per accettare l'avviso delle opzioni di modifica limitate.

                                                                                                                                                  3. Fare clic CD/DVD Drive 1, selezionare l'opzione per il montaggio da un file ISO datastore e passare alla posizione in cui è stato caricato il file ISO di configurazione.

                                                                                                                                                  4. Controllare Connesso e Connetti all'accensione.

                                                                                                                                                  5. Salvare le modifiche e riavviare la macchina virtuale.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Se i criteri IT lo richiedono, è possibile smontare opzionalmente il file ISO dopo che tutti i nodi rilevano le modifiche di configurazione. Per ulteriori informazioni, vedere (Opzionale) Smontaggio dell'ISO dopo la configurazione HDS.

                                                                                                                                                  Configurazione del nodo HDS per l'integrazione proxy

                                                                                                                                                  Se l'ambiente di rete richiede un proxy, utilizzare questa procedura per specificare il tipo di proxy che si desidera integrare con la sicurezza dei dati ibridi. Se si sceglie un proxy di ispezione trasparente o un proxy esplicito HTTPS, è possibile utilizzare l'interfaccia del nodo per caricare e installare il certificato radice. È inoltre possibile controllare la connessione del proxy dall'interfaccia e risolvere eventuali problemi.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  1

                                                                                                                                                  Inserisci l'URL di impostazione del nodo HDS https://[HDS Node IP or FQDN]/setup in un browser Web, immettere le credenziali di amministrazione impostate per il nodo, quindi fare clic su Accedi.

                                                                                                                                                  2

                                                                                                                                                  Vai su Trust Store & Proxy, quindi scegli un'opzione:

                                                                                                                                                  • Nessun proxy: opzione predefinita prima dell'integrazione di un proxy. Nessun aggiornamento del certificato richiesto.
                                                                                                                                                  • Proxy non ispezionato trasparente: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non devono richiedere modifiche per lavorare con un proxy non ispezionato. Nessun aggiornamento del certificato richiesto.
                                                                                                                                                  • Proxy con ispezione trasparente: i nodi non sono configurati per utilizzare un indirizzo del server proxy specifico. Nessuna modifica alla configurazione HTTPS è necessaria nella distribuzione di Hybrid Data Security; tuttavia, i nodi HDS necessitano di un certificato radice in modo che si fidino del proxy. Le deleghe di ispezione vengono solitamente utilizzate dal reparto IT per attuare politiche su cui i siti web possono essere visitati e su quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).
                                                                                                                                                  • Proxy esplicito: con il proxy esplicito, indicare al client (nodi HDS) quale server proxy utilizzare e questa opzione supporta diversi tipi di autenticazione. Una volta scelta questa opzione, è necessario immettere le seguenti informazioni:
                                                                                                                                                    1. IP/FQDN proxy: indirizzo che può essere utilizzato per raggiungere la macchina proxy.

                                                                                                                                                    2. Porta proxy: un numero di porta utilizzato dal proxy per ascoltare il traffico proxy.

                                                                                                                                                    3. Protocollo proxy: selezionare http (visualizza e controlla tutte le richieste ricevute dal client) o https (fornisce un canale al server e il client riceve e convalida il certificato del server). Scegliere un'opzione in base a quanto supportato dal server proxy.

                                                                                                                                                    4. Tipo di autenticazione: scegliere uno dei seguenti tipi di autenticazione:

                                                                                                                                                      • Nessuno: non è richiesta alcuna ulteriore autenticazione.

                                                                                                                                                        Disponibile per i proxy HTTP o HTTPS.

                                                                                                                                                      • Base: utilizzato per un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

                                                                                                                                                        Disponibile per i proxy HTTP o HTTPS.

                                                                                                                                                        Se si sceglie questa opzione, è necessario immettere anche il nome utente e la password.

                                                                                                                                                      • Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e la password prima dell'invio tramite la rete.

                                                                                                                                                        Disponibile solo per proxy HTTPS.

                                                                                                                                                        Se si sceglie questa opzione, è necessario immettere anche il nome utente e la password.

                                                                                                                                                  Seguire i passaggi successivi per un proxy di ispezione trasparente, un proxy esplicito HTTP con autenticazione di base o un proxy esplicito HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Fare clic su Carica un certificato radice o un certificato dell'entità finale, quindi selezionare il certificato radice per il proxy.

                                                                                                                                                  Il certificato viene caricato ma non ancora installato poiché è necessario riavviare il nodo per installare il certificato. Fare clic sulla freccia chevron accanto al nome dell'emittente del certificato per ottenere ulteriori dettagli oppure fare clic su Elimina se si è commesso un errore e si desidera ricaricare il file.

                                                                                                                                                  4

                                                                                                                                                  Fare clic su Verifica connessione proxy per verificare la connettività di rete tra il nodo e il proxy.

                                                                                                                                                  Se il test di connessione non riesce, viene visualizzato un messaggio di errore che mostra il motivo e come è possibile correggere il problema.

                                                                                                                                                  Se viene visualizzato un messaggio che indica che la risoluzione DNS esterna non è riuscita, il nodo non è stato in grado di raggiungere il server DNS. Questa condizione è prevista in molte configurazioni proxy esplicite. È possibile continuare con l'impostazione e il nodo funzionerà in modalità di risoluzione DNS esterna bloccata. Se si ritiene che si tratti di un errore, completare questa procedura, quindi vedere Disattivazione della modalità di risoluzione DNS esterna bloccata.

                                                                                                                                                  5

                                                                                                                                                  Una volta superato il test di connessione, per il proxy esplicito impostato solo su https, attivare il tasto di alternanza Indirizza tutte le richieste https della porta 443/444 da questo nodo attraverso il proxy esplicito. Questa impostazione richiede 15 secondi per avere effetto.

                                                                                                                                                  6

                                                                                                                                                  Fare clic su Installa tutti i certificati nell'archivio attendibilità (viene visualizzato per un proxy esplicito HTTPS o un proxy di ispezione trasparente) o su Riavvia (viene visualizzato per un proxy esplicito HTTP), leggere il prompt, quindi fare clic su Installa se si è pronti.

                                                                                                                                                  Il nodo si riavvia entro pochi minuti.

                                                                                                                                                  7

                                                                                                                                                  Una volta riavviato il nodo, eseguire di nuovo l'accesso, se necessario, quindi aprire la pagina Panoramica per controllare i controlli di connettività e assicurarsi che siano tutti in stato verde.

                                                                                                                                                  Il controllo della connessione proxy verifica solo un sottodominio di webex.com. Se si verificano problemi di connettività, un problema comune è che alcuni dei domini cloud elencati nelle istruzioni di installazione vengono bloccati sul proxy.

                                                                                                                                                  Registrazione del primo nodo nel cluster

                                                                                                                                                  Questa attività prende il nodo generico creato in Imposta VM di sicurezza dei dati ibridi, registra il nodo con il cloud Webex e lo trasforma in un nodo di sicurezza dei dati ibridi.

                                                                                                                                                  Quando registri il primo nodo, crei un cluster a cui è assegnato il nodo. Un cluster contiene uno o più nodi distribuiti per fornire ridondanza.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Una volta iniziata la registrazione di un nodo, è necessario completarlo entro 60 minuti o iniziare da capo.

                                                                                                                                                  • Accertarsi che eventuali blocchi popup nel browser siano disabilitati o che sia consentita un'eccezione per admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  Dal menu sul lato sinistro della schermata, selezionare Servizi.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Servizi ibridi, trovare Sicurezza dati ibridi e fare clic su Imposta.

                                                                                                                                                  Viene visualizzata la pagina Registra nodo sicurezza dati ibridi.
                                                                                                                                                  4

                                                                                                                                                  Seleziona per indicare che hai impostato il nodo e che sei pronto a registrarlo, quindi fai clic su Avanti.

                                                                                                                                                  5

                                                                                                                                                  Nel primo campo, immettere un nome per il cluster a cui si desidera assegnare il nodo di sicurezza dei dati ibridi.

                                                                                                                                                  Si consiglia di assegnare un nome a un cluster in base alla posizione geografica dei nodi del cluster. Esempi: "San Francisco" o "New York" o "Dallas"

                                                                                                                                                  6

                                                                                                                                                  Nel secondo campo, immettere l'indirizzo IP interno o il nome di dominio completo del nodo e fare clic su Avanti.

                                                                                                                                                  Questo indirizzo IP o FQDN deve corrispondere all'indirizzo IP o al nome host e al dominio utilizzati in Impostazione della VM di sicurezza dei dati ibridi.

                                                                                                                                                  Viene visualizzato un messaggio che indica che è possibile registrare il nodo su Webex.
                                                                                                                                                  7

                                                                                                                                                  Fare clic su Vai a nodo.

                                                                                                                                                  8

                                                                                                                                                  Fare clic su Continua nel messaggio di avviso.

                                                                                                                                                  Dopo alcuni istanti, si viene reindirizzati ai test di connettività del nodo per i servizi Webex. Se tutti i test vengono eseguiti correttamente, viene visualizzata la pagina Consenti accesso al nodo di sicurezza dei dati ibridi. Qui, confermi di voler concedere le autorizzazioni alla tua organizzazione Webex per accedere al nodo.
                                                                                                                                                  9

                                                                                                                                                  Selezionare la casella di controllo Consenti accesso al nodo di sicurezza dei dati ibridi, quindi fare clic su Continua.

                                                                                                                                                  L'account viene convalidato e il messaggio "Registrazione completa" indica che il nodo è ora registrato nel cloud Webex.
                                                                                                                                                  10

                                                                                                                                                  Fare clic sul collegamento o chiudere la scheda per tornare alla pagina Sicurezza dei dati ibridi di Control Hub.

                                                                                                                                                  Nella pagina Sicurezza dati ibridi, viene visualizzato il nuovo cluster contenente il nodo registrato. Il nodo scaricherà automaticamente l'ultimo software dal cloud.

                                                                                                                                                  Creazione e registrazione di altri nodi

                                                                                                                                                  Per aggiungere altri nodi al cluster, è sufficiente creare ulteriori VM e montare lo stesso file ISO di configurazione, quindi registrare il nodo. Si consiglia di avere almeno 3 nodi.

                                                                                                                                                   

                                                                                                                                                  In questo momento, le VM di backup create in Completa i prerequisiti per la sicurezza dei dati ibridi sono host standby utilizzati solo in caso di ripristino di emergenza; fino a quel momento non sono registrati nel sistema. Per informazioni dettagliate, vedere Ripristino di emergenza utilizzando il centro dati standby.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Una volta iniziata la registrazione di un nodo, è necessario completarlo entro 60 minuti o iniziare da capo.

                                                                                                                                                  • Accertarsi che eventuali blocchi popup nel browser siano disabilitati o che sia consentita un'eccezione per admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Creare una nuova macchina virtuale dal file OVA, ripetendo le operazioni descritte in Installazione del file OVA host HDS.

                                                                                                                                                  2

                                                                                                                                                  Impostare la configurazione iniziale sulla nuova VM, ripetendo i passaggi in Imposta la sicurezza dei dati ibridi VM.

                                                                                                                                                  3

                                                                                                                                                  Nella nuova VM, ripetere le operazioni riportate in Upload and Mount the HDS Configuration ISO.

                                                                                                                                                  4

                                                                                                                                                  Se si sta impostando un proxy per la distribuzione, ripetere i passaggi in Configura il nodo HDS per l'integrazione proxy come necessario per il nuovo nodo.

                                                                                                                                                  5

                                                                                                                                                  Registrare il nodo.

                                                                                                                                                  1. In https://admin.webex.com, selezionare Servizi dal menu sul lato sinistro dello schermo.

                                                                                                                                                  2. Nella sezione Hybrid Services (Servizi ibridi), trovare la scheda Hybrid Data Security (Sicurezza dati ibridi) e fare clic su Resources (Risorse).

                                                                                                                                                    Viene visualizzata la pagina Risorse sicurezza dati ibridi.
                                                                                                                                                  3. Fare clic su Aggiungi risorsa.

                                                                                                                                                  4. Nel primo campo, selezionare il nome del cluster esistente.

                                                                                                                                                  5. Nel secondo campo, immettere l'indirizzo IP interno o il nome di dominio completo del nodo e fare clic su Avanti.

                                                                                                                                                    Viene visualizzato un messaggio che indica che è possibile registrare il nodo sul cloud Webex.
                                                                                                                                                  6. Fare clic su Vai a nodo.

                                                                                                                                                    Dopo alcuni istanti, si viene reindirizzati ai test di connettività del nodo per i servizi Webex. Se tutti i test vengono eseguiti correttamente, viene visualizzata la pagina Consenti accesso al nodo di sicurezza dei dati ibridi. Qui, confermi di voler concedere le autorizzazioni alla tua organizzazione per accedere al tuo nodo.
                                                                                                                                                  7. Selezionare la casella di controllo Consenti accesso al nodo di sicurezza dei dati ibridi, quindi fare clic su Continua.

                                                                                                                                                    L'account viene convalidato e il messaggio "Registrazione completa" indica che il nodo è ora registrato nel cloud Webex.
                                                                                                                                                  8. Fare clic sul collegamento o chiudere la scheda per tornare alla pagina Sicurezza dei dati ibridi di Control Hub.

                                                                                                                                                  Il nodo è registrato. Tenere presente che fino all'avvio di una versione di prova, i nodi generano un allarme a indicare che il servizio non è ancora attivato.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Eseguire una versione di prova e passare alla produzione (capitolo successivo)
                                                                                                                                                  Eseguire una versione di prova e passare alla produzione

                                                                                                                                                  Flusso attività da prova a produzione

                                                                                                                                                  Dopo aver impostato un cluster di sicurezza dei dati ibridi, è possibile avviare un pilota, aggiungere utenti e iniziare a utilizzarlo per testare e verificare la distribuzione in preparazione del passaggio alla produzione.

                                                                                                                                                  1

                                                                                                                                                  Se applicabile, sincronizzare il HdsTrialGroup oggetto di gruppo.

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche per gli utenti, è necessario selezionare HdsTrialGroup raggruppa l'oggetto per la sincronizzazione al cloud prima di avviare una versione di prova. Per istruzioni, consultare la Guida alla distribuzione di Connettore directory Cisco.

                                                                                                                                                  2

                                                                                                                                                  Attiva versione di prova

                                                                                                                                                  Avviare una prova. Fino a quando non si esegue questa attività, i nodi generano un allarme che indica che il servizio non è ancora attivato.

                                                                                                                                                  3

                                                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Verificare che le richieste chiave passino alla distribuzione di Hybrid Data Security.

                                                                                                                                                  4

                                                                                                                                                  Monitoraggio della salute della sicurezza dei dati ibridi

                                                                                                                                                  Controllare lo stato e impostare notifiche e-mail per gli allarmi.

                                                                                                                                                  5

                                                                                                                                                  Aggiunta o rimozione di utenti dalla versione di prova

                                                                                                                                                  6

                                                                                                                                                  Completare la fase trial con una delle seguenti azioni:

                                                                                                                                                  Attiva versione di prova

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche per gli utenti, è necessario selezionare HdsTrialGroup raggruppa l'oggetto per la sincronizzazione al cloud prima di poter avviare una versione di prova per la propria organizzazione. Per istruzioni, consultare la Guida alla distribuzione di Connettore directory Cisco.

                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com, quindi selezionare Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Stato servizio, fare clic su Avvia versione di prova.

                                                                                                                                                  Lo stato del servizio cambia in modalità di prova.
                                                                                                                                                  4

                                                                                                                                                  Fai clic su Aggiungi utenti e inserisci l'indirizzo e-mail di uno o più utenti da pilotare utilizzando i nodi Hybrid Data Security per crittografare e indicizzare i servizi.

                                                                                                                                                  (Se la propria organizzazione utilizza la sincronizzazione delle rubriche, utilizzare Active Directory per gestire il gruppo di prova, HdsTrialGroup.)

                                                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare questa procedura per testare gli scenari di crittografia della sicurezza dei dati ibridi.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Impostare la distribuzione di sicurezza dei dati ibridi.

                                                                                                                                                  • Attivare la versione di prova e aggiungere diversi utenti di prova.

                                                                                                                                                  • Assicurarsi di avere accesso al registro di sistema per verificare che le richieste chiave vengano trasferite alla distribuzione di Hybrid Data Security.

                                                                                                                                                  1

                                                                                                                                                  Le chiavi per un determinato spazio sono impostate dal creatore dello spazio. Accedi all'app Webex come uno degli utenti pilota, quindi crea uno spazio e invita almeno un utente pilota e un utente non pilota.


                                                                                                                                                   

                                                                                                                                                  Se si disattiva la distribuzione di sicurezza dei dati ibridi, il contenuto negli spazi creati dagli utenti pilota non sarà più accessibile una volta sostituite le copie memorizzate nella cache del client delle chiavi di crittografia.

                                                                                                                                                  2

                                                                                                                                                  Invia messaggi al nuovo spazio.

                                                                                                                                                  3

                                                                                                                                                  Selezionare l'output syslog per verificare che le richieste chiave passino alla distribuzione di Hybrid Data Security.

                                                                                                                                                  1. Per verificare se un utente stabilisce prima un canale sicuro per il KMS, filtrare su kms.data.method=create e kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Si dovrebbe trovare una voce come quella che segue (identificativi più brevi per la leggibilità):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Per verificare la presenza di un utente che richiede una chiave esistente da KMS, filtrare su kms.data.method=retrieve e kms.data.type=KEY:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Per verificare la presenza di un utente che richiede la creazione di una nuova chiave KMS, filtrare su kms.data.method=create e kms.data.type=KEY_COLLECTION:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Per verificare la presenza di un utente che richiede la creazione di un nuovo oggetto risorse KMS (KRO) quando viene creato uno spazio o un'altra risorsa protetta, filtrare su kms.data.method=create e kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitoraggio della salute della sicurezza dei dati ibridi

                                                                                                                                                  Un indicatore di stato all'interno di Control Hub mostra se tutto funziona correttamente con la distribuzione di Hybrid Data Security. Per avvisi più proattivi, iscriviti per le notifiche e-mail. Verrai informato quando sono presenti allarmi con impatto sul servizio o aggiornamenti software.
                                                                                                                                                  1

                                                                                                                                                  In Control Hub, seleziona Servizi dal menu sul lato sinistro dello schermo.

                                                                                                                                                  2

                                                                                                                                                  Nella sezione Hybrid Services (Servizi ibridi), trovare Hybrid Data Security (Sicurezza dati ibridi) e fare clic su Settings (Impostazioni).

                                                                                                                                                  Viene visualizzata la pagina Impostazioni sicurezza dati ibridi.
                                                                                                                                                  3

                                                                                                                                                  Nella sezione Notifiche e-mail, digitare uno o più indirizzi e-mail separati da virgole e premere Invio.

                                                                                                                                                  Aggiunta o rimozione di utenti dalla versione di prova

                                                                                                                                                  Una volta attivata una versione di prova e aggiunto il set iniziale di utenti della versione di prova, è possibile aggiungere o rimuovere i membri della versione di prova in qualsiasi momento mentre la versione di prova è attiva.

                                                                                                                                                  Se si rimuove un utente dalla versione di prova, il client dell'utente richiederà le chiavi e la creazione delle chiavi dal KMS cloud anziché dal KMS. Se il client ha bisogno di una chiave memorizzata sul tuo KMS, il KMS cloud la recupererà per conto dell'utente.

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche, utilizzare Active Directory (anziché questa procedura) per gestire il gruppo di prova, HdsTrialGroup; puoi visualizzare i membri del gruppo in Control Hub ma non puoi aggiungerli o rimuoverli.

                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Modalità di prova dell'area Stato servizio, fare clic su Aggiungi utenti oppure fare clic su Visualizza e modifica per rimuovere gli utenti dalla versione di prova.

                                                                                                                                                  4

                                                                                                                                                  Inserire l'indirizzo e-mail di uno o più utenti da aggiungere o fare clic sulla X da parte di un ID utente per rimuovere l'utente dalla versione di prova. Quindi fare clic Salva .

                                                                                                                                                  Passa da versione di prova a produzione

                                                                                                                                                  Quando si è soddisfatti che la distribuzione funzioni correttamente per gli utenti di prova, è possibile passare alla produzione. Quando si passa alla produzione, tutti gli utenti nell'organizzazione utilizzeranno il dominio di sicurezza dei dati ibridi locale per le chiavi di crittografia e altri servizi di area di sicurezza. Non è possibile tornare alla modalità di prova dalla produzione a meno che non si disattivi il servizio come parte del ripristino di emergenza. La riattivazione del servizio richiede l'impostazione di una nuova prova.
                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Service Status (Stato servizio) fare clic su Move to Production (Passa a produzione).

                                                                                                                                                  4

                                                                                                                                                  Confermare che si desidera spostare tutti gli utenti in produzione.

                                                                                                                                                  Terminare la prova senza passare alla produzione

                                                                                                                                                  Se, durante la versione di prova, si decide di non procedere con la distribuzione di Hybrid Data Security, è possibile disattivare Hybrid Data Security, che termina la versione di prova e trasferisce gli utenti di prova ai servizi di sicurezza dei dati su cloud. Gli utenti dello studio perderanno l'accesso ai dati crittografati durante lo studio.
                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Disattiva fare clic su Disattiva.

                                                                                                                                                  4

                                                                                                                                                  Confermare che si desidera disattivare il servizio e terminare la prova.

                                                                                                                                                  Gestione della distribuzione HDS

                                                                                                                                                  Gestione della distribuzione HDS

                                                                                                                                                  Utilizzare le attività descritte qui per gestire la distribuzione di Hybrid Data Security.

                                                                                                                                                  Imposta pianificazione aggiornamento cluster

                                                                                                                                                  Gli aggiornamenti software per la sicurezza dei dati ibridi vengono eseguiti automaticamente a livello di cluster, per garantire che tutti i nodi utilizzino sempre la stessa versione del software. Gli aggiornamenti vengono eseguiti in base alla pianificazione di aggiornamento per il cluster. Quando un aggiornamento software diventa disponibile, è possibile eseguire manualmente l'aggiornamento del cluster prima dell'ora di aggiornamento pianificata. È possibile impostare una pianificazione di aggiornamento specifica o utilizzare la pianificazione predefinita delle 3:00 AM Daily Stati Uniti: America/Los Angeles. È anche possibile scegliere di posticipare un aggiornamento futuro, se necessario.

                                                                                                                                                  Per impostare la pianificazione di aggiornamento:

                                                                                                                                                  1

                                                                                                                                                  Accedere a Control Hub.

                                                                                                                                                  2

                                                                                                                                                  Nella pagina Panoramica, in Servizi ibridi, selezionare Sicurezza dati ibridi.

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Risorse sicurezza dati ibridi, selezionare il cluster.

                                                                                                                                                  4

                                                                                                                                                  Nel pannello Panoramica a destra, in Impostazioni cluster, selezionare il nome del cluster.

                                                                                                                                                  5

                                                                                                                                                  Nella pagina Impostazioni, in Aggiorna, selezionare l'ora e il fuso orario per la pianificazione dell'aggiornamento.

                                                                                                                                                  Nota: Sotto il fuso orario, viene visualizzata la successiva data e ora di aggiornamento disponibili. È possibile posticipare l'aggiornamento al giorno successivo, se necessario, facendo clic su Posponi.

                                                                                                                                                  Modifica della configurazione del nodo

                                                                                                                                                  Occasionalmente potrebbe essere necessario modificare la configurazione del nodo Sicurezza dati ibridi per motivi quali:
                                                                                                                                                  • Modifica dei certificati x.509 a causa di una scadenza o altri motivi.


                                                                                                                                                     

                                                                                                                                                    Non è supportata la modifica del nome dominio CN di un certificato. Il dominio deve corrispondere al dominio originale utilizzato per registrare il cluster.

                                                                                                                                                  • Aggiornamento delle impostazioni del database da modificare in una replica del database PostgreSQL o Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Non è supportata la migrazione dei dati da PostgreSQL a Microsoft SQL Server o viceversa. Per cambiare l'ambiente di database, avviare una nuova distribuzione di Sicurezza dei dati ibridi.

                                                                                                                                                  • Creazione di una nuova configurazione per preparare un nuovo centro dati.

                                                                                                                                                  Per motivi di sicurezza, la sicurezza dei dati ibridi utilizza password di account di servizio della durata di 9 mesi. Lo strumento di impostazione HDS genera queste password e occorre distribuirle a ciascuno dei nodi HDS come parte del file ISO di configurazione. Se le password della propria organizzazione sono prossime alla scadenza, si riceverà un avviso di scadenza password dal team Webex, in cui verrà richiesto di reimpostare la password per l'account macchina. (Il messaggio e-mail include il testo "Utilizzare l' API dell'account macchina per aggiornare la password".) Se le password non sono ancora scadute, lo strumento offre due opzioni:

                                                                                                                                                  • Ripristino graduale —La password vecchia e nuova funzionano entrambe per 10 giorni. Utilizzare questo punto per sostituire gradualmente il file ISO sui nodi.

                                                                                                                                                  • Ripristino hardware —Le password precedenti smettono immediatamente di funzionare.

                                                                                                                                                  Se le password scadono senza una reimpostazione, ciò ha un impatto sul servizio HDS, che richiede un ripristino hardware immediato e la sostituzione del file ISO su tutti i nodi.

                                                                                                                                                  Utilizzare questa procedura per generare un nuovo file ISO di configurazione e applicarlo al cluster.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Lo strumento di impostazione HDS viene eseguito come contenitore Docker su una macchina locale. Per accedervi, eseguire Docker su tale macchina. Il processo di impostazione richiede le credenziali di un account Control Hub con diritti di amministratore completi per l'organizzazione.

                                                                                                                                                    Se lo strumento di impostazione HDS viene eseguito dietro un proxy nel proprio ambiente, fornire le impostazioni del proxy (server, porta, credenziali) attraverso le variabili di ambiente Docker quando si solleva il contenitore Docker in 1.e. Questa tabella fornisce alcune possibili variabili di ambiente:

                                                                                                                                                    Descrizione

                                                                                                                                                    Variabile

                                                                                                                                                    proxy HTTP senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    proxy HTTP con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • È necessaria una copia del file ISO di configurazione corrente per generare una nuova configurazione. L'ISO contiene la chiave principale che crittografa il database PostgreSQL o Microsoft SQL Server. È necessario ISO quando si apportano modifiche alla configurazione, incluse credenziali del database, aggiornamenti dei certificati o modifiche ai criteri di autorizzazione.

                                                                                                                                                  1

                                                                                                                                                  Utilizzando il Docker su una macchina locale, eseguire lo strumento di impostazione HDS.

                                                                                                                                                  1. Nella riga di comando della macchina, immettere il comando appropriato per l'ambiente:

                                                                                                                                                    In ambienti normali:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    In ambienti FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Questo passaggio ripulisce le immagini precedenti dello strumento di impostazione HDS. Se non sono presenti immagini precedenti, viene restituito un errore che può essere ignorato.

                                                                                                                                                  2. Per accedere al registro immagini Docker, immettere quanto segue:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. Alla richiesta della password, immettere questo hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Scaricare l'immagine stabile più recente per il proprio ambiente:

                                                                                                                                                    In ambienti normali:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    In ambienti FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Accertarsi di eseguire il pull dello strumento di impostazione più recente per questa procedura. Le versioni dello strumento create prima del 22 febbraio 2018 non dispongono di schermate di reimpostazione della password.

                                                                                                                                                  5. Al termine del pull, immettere il comando appropriato per l'ambiente:

                                                                                                                                                    • In ambienti normali senza proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti normali con un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti normali con un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti FedRAMP senza proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • In ambienti FedRAMP con un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • In ambienti FedRAMP con un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Quando il contenitore è in esecuzione, viene visualizzato il messaggio "server Express in attesa sulla porta 8080".

                                                                                                                                                  6. Utilizzare un browser per connettersi a localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Lo strumento Imposta non supporta la connessione a localhost tramite http://localhost:8080. Usa http://127.0.0.1:8080 per connetterti a localhost.

                                                                                                                                                  7. Quando richiesto, immettere le credenziali di accesso del cliente , quindi fare clic su Accetta per continuare.

                                                                                                                                                  8. Importare il file ISO di configurazione corrente.

                                                                                                                                                  9. Seguire le indicazioni per completare lo strumento e scaricare il file aggiornato.

                                                                                                                                                    Per chiudere lo strumento di installazione, digitare CTRL+C.

                                                                                                                                                  10. Creare una copia di backup del file aggiornato in un altro centro dati.

                                                                                                                                                  2

                                                                                                                                                  Se si dispone di un solo nodo HDS in esecuzione, creare un nuovo nodo VM e registrarlo utilizzando il nuovo file ISO di configurazione. Per istruzioni più dettagliate, vedere Creazione e registrazione di più nodi.

                                                                                                                                                  1. Installare il file OVA dell'host HDS.

                                                                                                                                                  2. Impostare la macchina virtuale HDS.

                                                                                                                                                  3. Montare il file di configurazione aggiornato.

                                                                                                                                                  4. Registrare il nuovo nodo in Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Per i nodi HDS esistenti che eseguono il file di configurazione precedente , montare il file ISO . Completare la procedura seguente su ciascun nodo alla volta, aggiornando ciascun nodo prima di spegnere il nodo successivo:

                                                                                                                                                  1. Disattivare la macchina virtuale.

                                                                                                                                                  2. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul pulsante destro del mouse sulla macchina virtuale, quindi fare clic su Modifica impostazioni.

                                                                                                                                                  3. Fare clic CD/DVD Drive 1 Fare clic su Unità CD/DVD 1, selezionare l'opzione per il montaggio di un file ISO e selezionare la posizione in cui è stato scaricato il nuovo file di configurazione ISO.

                                                                                                                                                  4. Selezionare Connetti all'accensione.

                                                                                                                                                  5. Salvare le modifiche e accendere la macchina virtuale.

                                                                                                                                                  4

                                                                                                                                                  Ripetere il punto 3 per sostituire la configurazione su ciascun nodo restante in cui sia in esecuzione la configurazione precedente.

                                                                                                                                                  Disattivazione della modalità di risoluzione DNS esterna bloccata

                                                                                                                                                  Quando si registra un nodo o si controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud Cisco Webex. Se il server DNS del nodo non riesce a risolvere i nomi DNS pubblici, il nodo passa automaticamente in modalità di risoluzione DNS esterna bloccata.

                                                                                                                                                  Se i nodi sono in grado di risolvere i nomi DNS pubblici tramite server DNS interni, è possibile disattivare questa modalità eseguendo nuovamente il test di connessione proxy su ciascun nodo.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Assicurarsi che i server DNS interni possano risolvere i nomi DNS pubblici e che i nodi possano comunicare con essi.
                                                                                                                                                  1

                                                                                                                                                  In un browser Web, aprire l'interfaccia del nodo di sicurezza dei dati ibridi (indirizzo IP/impostazione, ad esempio, https://192.0.2.0/setup), immettere le credenziali di amministrazione impostate per il nodo, quindi fare clic su Accedi.

                                                                                                                                                  2

                                                                                                                                                  Andare a Overview (pagina predefinita).

                                                                                                                                                  Quando abilitata, Risoluzione DNS esterno bloccato è impostato su .

                                                                                                                                                  3

                                                                                                                                                  Andare alla pagina Archivio attendibilità e proxy.

                                                                                                                                                  4

                                                                                                                                                  Fare clic su Verifica connessione proxy.

                                                                                                                                                  Se viene visualizzato un messaggio che indica che la risoluzione DNS esterna non è riuscita, il nodo non è stato in grado di raggiungere il server DNS e rimarrà in questa modalità. Altrimenti, dopo aver riavviato il nodo e tornare alla pagina Panoramica, la risoluzione DNS esterna bloccata deve essere impostata su No.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Ripetere il test di connessione proxy su ciascun nodo nel cluster di sicurezza dei dati ibridi.

                                                                                                                                                  Rimozione di un nodo

                                                                                                                                                  Utilizzare questa procedura per rimuovere un nodo di sicurezza dei dati ibridi dal cloud Webex. Dopo aver rimosso il nodo dal cluster, eliminare la macchina virtuale per impedire un ulteriore accesso ai dati di sicurezza.
                                                                                                                                                  1

                                                                                                                                                  Utilizzare il client VMware vSphere sul computer per accedere all'host virtuale ESXi e spegnere la macchina virtuale.

                                                                                                                                                  2

                                                                                                                                                  Rimuovi il nodo:

                                                                                                                                                  1. Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2. Nella scheda Sicurezza dati ibridi, fare clic su Visualizza tutto per visualizzare la pagina Risorse sicurezza dati ibridi.

                                                                                                                                                  3. Selezionare il cluster per visualizzarne il pannello Panoramica.

                                                                                                                                                  4. Fare clic su Apri elenco nodi.

                                                                                                                                                  5. Nella scheda Nodi, selezionare il nodo che si desidera rimuovere.

                                                                                                                                                  6. Fare clic su Azioni > Annulla registrazione nodo.

                                                                                                                                                  3

                                                                                                                                                  Nel client vSphere, eliminare la VM (nel riquadro di navigazione a sinistra, fare clic con il pulsante destro del mouse sulla VM e fare clic su Elimina).

                                                                                                                                                  Se non si elimina la VM, ricordarsi di smontare il file ISO di configurazione. Senza il file ISO, non è possibile utilizzare la VM per accedere ai dati di sicurezza.

                                                                                                                                                  Ripristino di emergenza tramite centro dati standby

                                                                                                                                                  Il servizio più critico fornito dal cluster di sicurezza dei dati ibridi è la creazione e la memorizzazione di chiavi utilizzate per crittografare i messaggi e altri contenuti memorizzati nel cloud Webex. Per ogni utente all'interno dell'organizzazione assegnato alla sicurezza dei dati ibridi, le nuove richieste di creazione di chiavi vengono indirizzate al cluster. Il cluster è anche responsabile di restituire le chiavi create agli utenti autorizzati a recuperarle, ad esempio, i membri di uno spazio di conversazione.

                                                                                                                                                  Poiché il cluster svolge la funzione critica di fornire queste chiavi, è imperativo che il cluster rimanga in esecuzione e che vengano mantenuti i backup appropriati. La perdita del database di sicurezza dei dati ibridi o della configurazione ISO utilizzata per lo schema comporterà una PERDITA IRRECUPERABILE del contenuto del cliente. Per evitare tale perdita sono obbligatorie le seguenti pratiche:

                                                                                                                                                  Se una catastrofe causa l'indisponibilità della distribuzione HDS nel centro dati principale, seguire questa procedura per il failover manuale al centro dati standby.

                                                                                                                                                  1

                                                                                                                                                  Avviare lo strumento di impostazione HDS e seguire la procedura indicata in Crea una configurazione ISO per gli host HDS.

                                                                                                                                                  2

                                                                                                                                                  Dopo aver configurato il server Syslogd, fare clic su Impostazioni avanzate

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Impostazioni avanzate, aggiungere la configurazione seguente o rimuovere il passiveMode configurazione per rendere attivo il nodo. Il nodo può gestire il traffico una volta configurato.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completa il processo di configurazione e salva il file ISO in una posizione facile da trovare.

                                                                                                                                                  5

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale. Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  6

                                                                                                                                                  Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic con il pulsante destro del mouse sulla VM e fare clic su Modifica impostazioni.

                                                                                                                                                  7

                                                                                                                                                  Fare clic su Modifica impostazioni >Unità CD/DVD 1 e selezionare Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Accertarsi che Connected e Connect all'accensione siano controllati in modo che le modifiche di configurazione aggiornate possano avere effetto dopo l'avvio dei nodi.

                                                                                                                                                  8

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 15 minuti.

                                                                                                                                                  9

                                                                                                                                                  Ripetere la procedura per ogni nodo nel centro dati standby.


                                                                                                                                                   

                                                                                                                                                  Controllare l'output syslog per verificare che i nodi del centro dati standby non siano in modalità passiva. “KMS configurato in modalità passiva” non deve apparire nei syslogs.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Dopo il failover, se il centro dati principale diventa nuovamente attivo, posizionare nuovamente il centro dati standby in modalità passiva seguendo la procedura descritta in Imposta centro dati standby per ripristino di emergenza.

                                                                                                                                                  (Opzionale) Smontaggio ISO dopo configurazione HDS

                                                                                                                                                  La configurazione HDS standard viene eseguita con l'ISO montato. Tuttavia, alcuni clienti preferiscono non lasciare i file ISO montati continuamente. È possibile smontare il file ISO dopo che tutti i nodi HDS hanno rilevato la nuova configurazione.

                                                                                                                                                  Si utilizzano ancora i file ISO per apportare modifiche alla configurazione. Quando si crea un nuovo ISO o si aggiorna un ISO tramite lo strumento di impostazione, è necessario montare l'ISO aggiornato su tutti i nodi HDS. Una volta che tutti i nodi hanno rilevato le modifiche alla configurazione, è possibile smontare nuovamente l'ISO con questa procedura.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Eseguire l'aggiornamento di tutti i nodi HDS alla versione 2021.01.22.4720 o successiva.

                                                                                                                                                  1

                                                                                                                                                  Chiudere uno dei nodi HDS.

                                                                                                                                                  2

                                                                                                                                                  Nella vCenter Server Appliance, selezionare il nodo HDS.

                                                                                                                                                  3

                                                                                                                                                  Scegli Modifica impostazioni > unità CD/DVD e deseleziona Datastore ISO File.

                                                                                                                                                  4

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 20 minuti.

                                                                                                                                                  5

                                                                                                                                                  Ripetere per ciascun nodo HDS a sua volta.

                                                                                                                                                  Risoluzione dei problemi di sicurezza dei dati ibridi

                                                                                                                                                  Visualizzazione di avvisi e risoluzione dei problemi

                                                                                                                                                  Una distribuzione di sicurezza dei dati ibridi viene considerata non disponibile se tutti i nodi nel cluster sono irraggiungibili o se il cluster funziona così lentamente da richiedere un timeout. Se gli utenti non riescono a raggiungere il cluster di sicurezza dei dati ibridi, avvertono i seguenti sintomi:

                                                                                                                                                  • Impossibile creare nuovi spazi (impossibile creare nuove chiavi)

                                                                                                                                                  • I titoli dei messaggi e dello spazio non vengono decrittografati per:

                                                                                                                                                    • Nuovi utenti aggiunti a uno spazio (impossibile recuperare i tasti)

                                                                                                                                                    • Utenti esistenti in uno spazio che utilizzano un nuovo client (impossibile recuperare le chiavi)

                                                                                                                                                  • Gli utenti esistenti in uno spazio continueranno a funzionare correttamente fino a quando i relativi client dispongono di una cache delle chiavi di crittografia

                                                                                                                                                  È importante monitorare correttamente il cluster di sicurezza dei dati ibridi e indirizzare tempestivamente eventuali avvisi per evitare l'interruzione del servizio.

                                                                                                                                                  Avvisi

                                                                                                                                                  Se si verifica un problema con l'impostazione della sicurezza dei dati ibridi, Control Hub visualizza gli avvisi all'amministratore dell'organizzazione e invia messaggi e-mail all'indirizzo e-mail configurato. Gli avvisi coprono molti scenari comuni.

                                                                                                                                                  Tabella 1. Problemi comuni e le fasi per risolverli

                                                                                                                                                  Avviso

                                                                                                                                                  Azione

                                                                                                                                                  Errore di accesso al database locale.

                                                                                                                                                  Verificare la presenza di errori nel database o problemi di rete locale.

                                                                                                                                                  Errore di connessione al database locale.

                                                                                                                                                  Verificare che il server del database sia disponibile e che le credenziali dell'account di servizio corretto siano state utilizzate nella configurazione del nodo.

                                                                                                                                                  Errore di accesso al servizio cloud.

                                                                                                                                                  Verificare che i nodi possano accedere ai server Webex come specificato nei requisiti di connettività esterna.

                                                                                                                                                  Rinnovo della registrazione del servizio cloud.

                                                                                                                                                  La registrazione ai servizi cloud è stata interrotta. Rinnovo registrazione in corso.

                                                                                                                                                  Registrazione servizio cloud interrotta.

                                                                                                                                                  La registrazione ai servizi cloud è terminata. Il servizio è in fase di arresto.

                                                                                                                                                  Servizio non ancora attivato.

                                                                                                                                                  Attivare una versione di prova o terminare lo spostamento della versione di prova in produzione.

                                                                                                                                                  Il dominio configurato non corrisponde al certificato del server.

                                                                                                                                                  Assicurarsi che il certificato del server corrisponda al dominio di attivazione del servizio configurato.

                                                                                                                                                  La causa più probabile è che il certificato CN è stato modificato di recente ed è ora diverso dal certificato CN utilizzato durante la configurazione iniziale.

                                                                                                                                                  Impossibile eseguire l'autenticazione ai servizi cloud.

                                                                                                                                                  Verificare l'accuratezza e la possibile scadenza delle credenziali dell'account servizio.

                                                                                                                                                  Impossibile aprire il file del keystore locale.

                                                                                                                                                  Verificare l'integrità e l'accuratezza della password nel file del keystore locale.

                                                                                                                                                  Certificato del server locale non valido.

                                                                                                                                                  Controllare la data di scadenza del certificato del server e verificare che sia stato rilasciato da un'autorità di certificazione attendibile.

                                                                                                                                                  Impossibile pubblicare le metriche.

                                                                                                                                                  Controllare l'accesso alla rete locale ai servizi cloud esterni.

                                                                                                                                                  La directory /media/configdrive/hds non esiste.

                                                                                                                                                  Controllare la configurazione del montaggio ISO sull'host virtuale. Verificare che il file ISO esista, che sia configurato per il montaggio sul riavvio e che venga montato correttamente.

                                                                                                                                                  Risoluzione dei problemi di sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare le seguenti linee guida generali per la risoluzione dei problemi relativi alla sicurezza dei dati ibridi.
                                                                                                                                                  1

                                                                                                                                                  Esamina Control Hub per eventuali avvisi e correggi eventuali elementi che trovi.

                                                                                                                                                  2

                                                                                                                                                  Rivedere l'output del server syslog per l'attività dalla distribuzione di Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Contatta il supporto Cisco.

                                                                                                                                                  Altre note

                                                                                                                                                  Problemi noti per la sicurezza dei dati ibridi

                                                                                                                                                  • Se si arresta il cluster di sicurezza dei dati ibridi (eliminandolo in Control Hub o chiudendo tutti i nodi), si perde il file ISO di configurazione o si perde l'accesso al database del keystore, gli utenti dell'app Webex non possono più utilizzare gli spazi sotto il relativo elenco di persone creati con i tasti del KMS. Ciò si applica sia alle distribuzioni di prova che di produzione. Attualmente non abbiamo una soluzione o una soluzione per questo problema e ti invitiamo a non chiudere i tuoi servizi HDS una volta che stanno gestendo account utente attivi.

                                                                                                                                                  • Un client che dispone di una connessione ECDH esistente a un KMS mantiene tale connessione per un periodo di tempo (probabilmente un'ora). Quando un utente diventa membro di una versione di prova di sicurezza dei dati ibridi, il client dell'utente continua a utilizzare la connessione ECDH esistente fino a quando non si spegne. In alternativa, l'utente può disconnettersi e accedere nuovamente all'app Webex per aggiornare la posizione che l'app contatta per le chiavi di crittografia.

                                                                                                                                                    Lo stesso comportamento si verifica quando si sposta una versione di prova in produzione per l'organizzazione. Tutti gli utenti senza prova con connessioni ECDH esistenti ai precedenti servizi di sicurezza dei dati continueranno a utilizzare tali servizi fino alla rinegoziazione della connessione ECDH (attraverso timeout o attraverso la disconnessione e il back-in).

                                                                                                                                                  Uso di OpenSSL per generare un file PKCS12

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • OpenSSL è uno strumento che può essere utilizzato per rendere il file PKCS12 nel formato appropriato per il caricamento nello strumento di impostazione HDS. Ci sono altri modi per farlo, e non sosteniamo né promuoviamo una strada rispetto all'altra.

                                                                                                                                                  • Se si sceglie di utilizzare OpenSSL, la presente procedura fornisce le linee guida per la creazione di un file che soddisfi i requisiti di certificato X.509 in Requisiti di certificato X.509. Capire questi requisiti prima di continuare.

                                                                                                                                                  • Installare OpenSSL in un ambiente supportato. Vedere https://www.openssl.org per il software e la documentazione.

                                                                                                                                                  • Creare una chiave privata.

                                                                                                                                                  • Avviare questa procedura quando si riceve il certificato del server dall'autorità di certificazione (CA).

                                                                                                                                                  1

                                                                                                                                                  Quando si riceve il certificato del server dall'autorità di certificazione, salvarlo come hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Visualizzare il certificato come testo e verificare i dettagli.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Utilizzare un editor di testo per creare un file di bundle di certificati denominato hdsnode-bundle.pem. Il file bundle deve includere il certificato del server, eventuali certificati CA intermedi e i certificati CA radice, nel formato seguente:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Creare il file .p12 con il nome amichevole kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Controllare i dettagli del certificato del server.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Immettere una password quando viene richiesto di crittografare la chiave privata in modo che sia elencata nell'output. Quindi, verificare che la chiave privata e il primo certificato includano le linee friendlyName: kms-private-key.

                                                                                                                                                    Esempio:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Tornare a Completare i prerequisiti per la sicurezza dei dati ibridi. Si utilizzerà il hdsnode.p12 file e la password impostata, in Crea una configurazione ISO per gli host HDS.


                                                                                                                                                   

                                                                                                                                                  È possibile riutilizzare questi file per richiedere un nuovo certificato alla scadenza del certificato originale.

                                                                                                                                                  Traffico tra i nodi HDS e il cloud

                                                                                                                                                  Traffico incasso metriche in uscita

                                                                                                                                                  I nodi di sicurezza dei dati ibridi inviano determinate metriche al cloud Webex. Queste includono metriche di sistema per heap max, heap utilizzato, caricamento CPU e conteggio thread; metriche su thread sincroni e asincroni; metriche su avvisi che comportano una soglia di connessioni di crittografia, latenza o lunghezza della coda di richiesta; metriche sul datastore e metriche di connessione di crittografia. I nodi inviano materiale chiave crittografato su un canale fuori banda (separato dalla richiesta).

                                                                                                                                                  Traffico in entrata

                                                                                                                                                  I nodi di sicurezza dei dati ibridi ricevono i seguenti tipi di traffico in entrata dal cloud Webex:

                                                                                                                                                  • Richieste di crittografia da client, indirizzate dal servizio di crittografia

                                                                                                                                                  • Aggiornamenti al software del nodo

                                                                                                                                                  Configurazione dei proxy Squid per la sicurezza dei dati ibridi

                                                                                                                                                  Websocket non può connettersi tramite proxy Squid

                                                                                                                                                  I proxy di calamari che ispezionano il traffico HTTPS possono interferire con la creazione di websocket ( wss:) connessioni richieste per la sicurezza dei dati ibridi. Queste sezioni forniscono indicazioni su come configurare diverse versioni di Squid da ignorare wss: traffico per il corretto funzionamento dei servizi.

                                                                                                                                                  Calamaro 4 e 5

                                                                                                                                                  Aggiungi il on_unsupported_protocol direttiva a squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Calamaro 3.5.27

                                                                                                                                                  Abbiamo testato con successo la sicurezza dei dati ibridi con le seguenti regole aggiunte a squid.conf. Queste regole sono soggette a modifiche durante lo sviluppo delle funzioni e l'aggiornamento del cloud Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Prefazione

                                                                                                                                                  Informazioni nuove e modificate

                                                                                                                                                  Data

                                                                                                                                                  Modifiche apportate

                                                                                                                                                  20 ottobre 2023

                                                                                                                                                  7 agosto 2023

                                                                                                                                                  23 maggio 2023

                                                                                                                                                  6 dicembre 2022

                                                                                                                                                  23 novembre 2022

                                                                                                                                                  13 ottobre 2021

                                                                                                                                                  Docker Desktop deve eseguire un programma di impostazione prima di installare i nodi HDS. Vedere Requisiti desktop docker.

                                                                                                                                                  24 giugno 2021

                                                                                                                                                  Tenere presente che è possibile riutilizzare il file della chiave privata e il CSR per richiedere un altro certificato. Per informazioni dettagliate, vedere Uso di OpenSSL per generare un file PKCS12.

                                                                                                                                                  30 aprile 2021

                                                                                                                                                  Modificato il requisito della VM per lo spazio su disco rigido locale in 30 GB. Per informazioni dettagliate, vedere Requisiti organizzatore virtuale.

                                                                                                                                                  24 febbraio 2021

                                                                                                                                                  Lo strumento di impostazione HDS ora può essere eseguito dietro un proxy. Per informazioni dettagliate, vedere Creazione di una configurazione ISO per gli host HDS.

                                                                                                                                                  2 febbraio 2021

                                                                                                                                                  HDS ora può funzionare senza un file ISO montato. Per ulteriori informazioni, vedere (Opzionale) Smontaggio dell'ISO dopo la configurazione HDS.

                                                                                                                                                  11 gennaio 2021

                                                                                                                                                  Aggiunte informazioni sullo strumento di impostazione HDS e sui proxy per creare una configurazione ISO per gli host HDS.

                                                                                                                                                  13 ottobre 2020

                                                                                                                                                  Aggiornato Scarica file di installazione.

                                                                                                                                                  8 ottobre 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS e Modifica della configurazione del nodo con i comandi per gli ambienti FedRAMP.

                                                                                                                                                  14 agosto 2020

                                                                                                                                                  Aggiornata Creazione di un ISO di configurazione per gli host HDS e Modifica della configurazione del nodo con modifiche al processo di accesso.

                                                                                                                                                  5 agosto 2020

                                                                                                                                                  Aggiornata la verifica della distribuzione della sicurezza dei dati ibridi per le modifiche nei messaggi del registro.

                                                                                                                                                  Aggiornati i requisiti dell'organizzatore virtuale per rimuovere il numero massimo di organizzatori.

                                                                                                                                                  16 giugno 2020

                                                                                                                                                  Aggiornata la rimozione di un nodo per le modifiche nell'interfaccia utente di Control Hub.

                                                                                                                                                  4 giugno 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS per le modifiche alle impostazioni avanzate che è possibile impostare.

                                                                                                                                                  29 maggio 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS per mostrare che è possibile utilizzare anche TLS con database SQL Server, modifiche dell'interfaccia utente e altri chiarimenti.

                                                                                                                                                  5 maggio 2020

                                                                                                                                                  Aggiornati i requisiti dell'organizzatore virtuale per mostrare il nuovo requisito di ESXi 6.5.

                                                                                                                                                  21 aprile 2020

                                                                                                                                                  Aggiornati i requisiti di connettività esterna con i nuovi host CI Americas.

                                                                                                                                                  1° aprile 2020

                                                                                                                                                  Aggiornati i requisiti di connettività esterna con informazioni sugli host CI regionali.

                                                                                                                                                  20 febbraio 2020Aggiornata Creazione di una configurazione ISO per gli host HDS con informazioni sulla nuova schermata opzionale Impostazioni avanzate nello strumento Impostazione HDS.
                                                                                                                                                  4 febbraio 2020Aggiornati i requisiti del server proxy.
                                                                                                                                                  16 dicembre 2019Chiarito il requisito per il funzionamento della modalità di risoluzione DNS esterna bloccata in Requisiti server proxy.
                                                                                                                                                  19 novembre 2019

                                                                                                                                                  Aggiunte informazioni sulla modalità di risoluzione DNS esterna bloccata nelle seguenti sezioni:

                                                                                                                                                  8 novembre 2019

                                                                                                                                                  Ora è possibile configurare le impostazioni di rete per un nodo durante la distribuzione del file OVA anziché successivamente.

                                                                                                                                                  Aggiornate di conseguenza le seguenti sezioni:


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  6 settembre 2019

                                                                                                                                                  Aggiunto SQL Server Standard ai requisiti del server database.

                                                                                                                                                  È il 29 agosto 2019Aggiunta l'appendice Configura proxy Squid per la sicurezza dei dati ibridi con indicazioni sulla configurazione dei proxy Squid per ignorare il traffico websocket per un funzionamento corretto.
                                                                                                                                                  20 agosto 2019

                                                                                                                                                  Aggiunte e aggiornate sezioni per coprire il supporto proxy per le comunicazioni dei nodi di sicurezza dei dati ibridi al cloud Webex.

                                                                                                                                                  Per accedere solo al contenuto del supporto proxy per una distribuzione esistente, vedere l'articolo della Guida sul supporto proxy per la sicurezza dei dati ibridi e il mesh video Webex.

                                                                                                                                                  13 giugno 2019Aggiornato Flusso attività di prova su produzione con un promemoria per sincronizzare la HdsTrialGroup raggruppa l'oggetto prima di avviare una versione di prova se la tua organizzazione utilizza la sincronizzazione delle rubriche.
                                                                                                                                                  6 marzo 2019
                                                                                                                                                  28 febbraio 2019
                                                                                                                                                  • È stata corretta la quantità di spazio su disco rigido locale per server da impostare quando si preparano gli host virtuali che diventano nodi di sicurezza dei dati ibridi, da 50 GB a 20 GB, in modo da riflettere la dimensione del disco creato dal file OVA.

                                                                                                                                                  26 febbraio 2019
                                                                                                                                                  • I nodi Hybrid Data Security ora supportano connessioni crittografate con server di database PostgreSQL e connessioni di registrazione crittografate a un server syslog con funzionalità TLS. Aggiornata la creazione di un ISO di configurazione per gli host HDS con le istruzioni.

                                                                                                                                                  • URL di destinazione rimossi dalla tabella "Requisiti di connettività Internet per le VM dei nodi di sicurezza dei dati ibridi". La tabella ora si riferisce all'elenco mantenuto nella tabella "URL aggiuntivi per i servizi ibridi dei team Webex" dei Requisiti di rete per i servizi dei team Webex.

                                                                                                                                                  24 gennaio 2019

                                                                                                                                                  • Hybrid Data Security ora supporta Microsoft SQL Server come database. SQL Server Always On (cluster di failover sempre attivi e gruppi di disponibilità sempre attivi) è supportato dai driver JDBC utilizzati in Hybrid Data Security. Aggiunto contenuto relativo alla distribuzione con SQL Server.


                                                                                                                                                     

                                                                                                                                                    Il supporto di Microsoft SQL Server è destinato alle nuove distribuzioni di Hybrid Data Security. Attualmente non è supportata la migrazione dei dati da PostgreSQL a Microsoft SQL Server in una distribuzione esistente.

                                                                                                                                                  5 novembre 2018
                                                                                                                                                  giovedì 19 ottobre 2018

                                                                                                                                                  31 luglio 2018

                                                                                                                                                  21 maggio 2018

                                                                                                                                                  Terminologia modificata per riflettere il rebranding di Cisco Spark:

                                                                                                                                                  • La sicurezza dei dati ibridi Cisco Spark è ora Sicurezza dei dati ibridi.

                                                                                                                                                  • L'app Cisco Spark ora è l'app Webex.

                                                                                                                                                  • Cisco Collaboraton Cloud è ora il cloud Webex.

                                                                                                                                                  11 aprile 2018
                                                                                                                                                  22 febbraio 2018
                                                                                                                                                  15 febbraio 2018
                                                                                                                                                  • Nella tabella dei requisiti di certificato X.509, è specificato che il certificato non può essere un certificato con caratteri jolly e che KMS utilizza il dominio CN, non qualsiasi dominio definito nei campi x.509v3 SAN.

                                                                                                                                                  18 gennaio 2018

                                                                                                                                                  2 novembre 2017

                                                                                                                                                  • Chiarificazione della sincronizzazione delle rubriche di HdsTrialGroup.

                                                                                                                                                  • Istruzioni fisse per il caricamento del file di configurazione ISO per il montaggio sui nodi VM.

                                                                                                                                                  18 agosto 2017

                                                                                                                                                  Prima pubblicazione

                                                                                                                                                  Introduzione alla sicurezza dei dati ibridi

                                                                                                                                                  Panoramica sulla sicurezza dei dati ibridi

                                                                                                                                                  Fin dal primo giorno, la sicurezza dei dati è stata l'obiettivo principale nella progettazione dell'app Webex. La pietra angolare di questa sicurezza è la crittografia del contenuto end-to-end, abilitata dai client dell'app Webex che interagiscono con il servizio di gestione delle chiavi (KMS). Il KMS è responsabile della creazione e della gestione delle chiavi di crittografia utilizzate dai client per crittografare e decrittografare in modo dinamico messaggi e file.

                                                                                                                                                  Per impostazione predefinita, tutti i clienti dell'app Webex ottengono la crittografia end-to-end con chiavi dinamiche memorizzate nel KMS su cloud, nell'area di sicurezza di Cisco. La sicurezza dei dati ibridi sposta il KMS e altre funzioni correlate alla sicurezza nel centro dati aziendali , in modo che nessuno tranne l'utente possieda le chiavi del contenuto crittografato.

                                                                                                                                                  Architettura dell'area di sicurezza

                                                                                                                                                  L'architettura cloud Webex separa diversi tipi di servizio in regni separati o domini attendibili, come illustrato di seguito.

                                                                                                                                                  Campi di separazione (senza sicurezza dei dati ibridi)

                                                                                                                                                  Per comprendere meglio la sicurezza dei dati ibridi, diamo un'occhiata a questo caso cloud puro, in cui Cisco fornisce tutte le funzioni nelle sue aree cloud. Il servizio di identità, l'unico luogo in cui gli utenti possono essere direttamente correlati con le loro informazioni personali come l'indirizzo e-mail, è logicamente e fisicamente separato dall'area di sicurezza nel centro dati B. Entrambi sono a loro volta separati dall'area di archiviazione del contenuto crittografato, nel centro dati C.

                                                                                                                                                  In questo diagramma, il client è l'app Webex in esecuzione sul laptop di un utente ed è stato autenticato con il servizio di identità. Quando l'utente compone un messaggio da inviare a uno spazio, vengono eseguite le seguenti operazioni:

                                                                                                                                                  1. Il client stabilisce una connessione sicura con il servizio di gestione delle chiavi (KMS), quindi richiede una chiave per crittografare il messaggio. La connessione protetta utilizza ECDH e KMS crittografa la chiave utilizzando una chiave master AES-256.

                                                                                                                                                  2. Il messaggio viene crittografato prima di lasciare il client. Il cliente lo invia al servizio di indicizzazione che crea indici di ricerca criptati per facilitare la ricerca futura dei contenuti.

                                                                                                                                                  3. Il messaggio crittografato viene inviato al servizio di compliance per i controlli di conformità.

                                                                                                                                                  4. Il messaggio crittografato viene memorizzato nell'area di storage.

                                                                                                                                                  Quando si distribuisce la sicurezza dei dati ibridi, si spostano le funzioni dell'area di sicurezza (KMS, indicizzazione e conformità) nel centro dati locale. Gli altri servizi cloud che costituiscono Webex (tra cui identità e storage di contenuto) rimangono nei regni di Cisco.

                                                                                                                                                  Collaborazione con altre organizzazioni

                                                                                                                                                  Gli utenti nella tua organizzazione possono utilizzare regolarmente l'app Webex per collaborare con partecipanti esterni in altre organizzazioni. Quando uno dei tuoi utenti richiede una chiave per uno spazio di proprietà della tua organizzazione (perché è stata creata da uno dei tuoi utenti), il tuo KMS invia la chiave al client su un canale protetto ECDH. Tuttavia, quando un'altra organizzazione possiede la chiave per lo spazio, KMS indirizza la richiesta al cloud Webex attraverso un canale ECDH separato per ottenere la chiave dal KMS appropriato, quindi restituisce la chiave all'utente sul canale originale.

                                                                                                                                                  Il servizio KMS in esecuzione sull'organizzazione A convalida le connessioni ai KMS in altre organizzazioni utilizzando certificati PKI x.509. Vedere Preparazione dell'ambiente per informazioni dettagliate sulla generazione di un certificato x.509 da utilizzare con la distribuzione di sicurezza dei dati ibridi.

                                                                                                                                                  Aspettative per la distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Una distribuzione di sicurezza dei dati ibridi richiede un significativo impegno del cliente e una consapevolezza dei rischi derivanti dal possesso di chiavi di crittografia.

                                                                                                                                                  Per distribuire la sicurezza dei dati ibridi, è necessario fornire:

                                                                                                                                                  La perdita completa della configurazione ISO creata per la sicurezza dei dati ibridi o del database fornito provocherà la perdita delle chiavi. La perdita di chiave impedisce agli utenti di decrittografare il contenuto dello spazio e altri dati crittografati nell'app Webex. In questo caso, è possibile creare una nuova distribuzione, ma solo nuovi contenuti saranno visibili. Per evitare di perdere l'accesso ai dati, è necessario:

                                                                                                                                                  • Gestire il backup e il ripristino del database e della configurazione ISO.

                                                                                                                                                  • Prepararsi a eseguire un rapido ripristino di emergenza in caso di catastrofe, come guasto del disco del database o disastro del centro dati.


                                                                                                                                                   

                                                                                                                                                  Non esiste un meccanismo per spostare nuovamente i tasti sul cloud dopo una distribuzione HDS.

                                                                                                                                                  Processo di impostazione di alto livello

                                                                                                                                                  Questo documento copre l'impostazione e la gestione di una distribuzione di sicurezza dei dati ibridi:

                                                                                                                                                  • Impostazione della sicurezza dei dati ibridi: include la preparazione dell'infrastruttura richiesta e l'installazione del software di sicurezza dei dati ibridi, il test della distribuzione con un sottogruppo di utenti in modalità di prova e, una volta completato il test, il passaggio alla produzione. In questo modo, l'intera organizzazione viene convertita per utilizzare il cluster di sicurezza dei dati ibridi per le funzioni di sicurezza.

                                                                                                                                                    Le fasi di configurazione, prova e produzione sono descritte in dettaglio nei prossimi tre capitoli.

                                                                                                                                                  • Mantieni la distribuzione di sicurezza dei dati ibridi: il cloud Webex fornisce automaticamente aggiornamenti continui. Il reparto IT può fornire il supporto di primo livello per questa distribuzione e coinvolgere il supporto Cisco come necessario. Puoi utilizzare notifiche a schermo e impostare avvisi basati su e-mail in Control Hub.

                                                                                                                                                  • Comprendere avvisi comuni, fasi di risoluzione dei problemi e problemi noti: se si verificano problemi di distribuzione o utilizzo della sicurezza dei dati ibridi, l'ultimo capitolo di questa guida e l'appendice Problemi noti possono aiutare a determinare e risolvere il problema.

                                                                                                                                                  Modello di distribuzione di sicurezza dei dati ibridi

                                                                                                                                                  All'interno del centro dati aziendale, si distribuisce Hybrid Data Security come singolo cluster di nodi su host virtuali separati. I nodi comunicano con il cloud Webex attraverso websocket sicuri e HTTP sicuro.

                                                                                                                                                  Durante il processo di installazione, viene fornito il file OVA per impostare l'applicazione virtuale sulle VM fornite. Utilizzare lo strumento di impostazione HDS per creare un file ISO di configurazione del cluster personalizzato che viene montato su ciascun nodo. Il cluster di sicurezza dei dati ibridi utilizza il server Syslogd fornito e il database PostgreSQL o Microsoft SQL Server. Configurare i dettagli di connessione Syslogd e database nello strumento di impostazione HDS.

                                                                                                                                                  Modello di distribuzione di sicurezza dei dati ibridi

                                                                                                                                                  Il numero minimo di nodi che puoi avere in un cluster è due. Si consiglia di averne almeno tre e si possono averne fino a cinque. La presenza di più nodi garantisce che il servizio non venga interrotto durante un aggiornamento software o un'altra attività di manutenzione su un nodo. (Il cloud Webex aggiorna solo un nodo alla volta).

                                                                                                                                                  Tutti i nodi in un cluster accedono allo stesso datastore chiave e registrano l'attività sullo stesso server syslog. I nodi stessi sono apolidi e gestiscono le richieste chiave in modo rotondo-robin, come diretto dal cloud.

                                                                                                                                                  I nodi diventano attivi quando vengono registrati in Control Hub. Per rimuovere un singolo nodo dal servizio, puoi annullarne la registrazione e successivamente eseguirne l'iscrizione, se necessario.

                                                                                                                                                  È supportato solo un singolo cluster per organizzazione.

                                                                                                                                                  Modalità di prova della sicurezza dei dati ibridi

                                                                                                                                                  Dopo aver impostato una distribuzione di sicurezza dei dati ibridi, provare con una serie di utenti pilota. Durante il periodo di prova, questi utenti utilizzano il dominio di sicurezza dei dati ibridi in sede per le chiavi di crittografia e altri servizi di area di sicurezza. Gli altri utenti continuano a utilizzare l'area di sicurezza del cloud.

                                                                                                                                                  Se si decide di non continuare con la distribuzione durante la versione di prova e disattivare il servizio, gli utenti pilota e qualsiasi utente con cui hanno interagito creando nuovi spazi durante il periodo di prova perderanno l'accesso ai messaggi e al contenuto. Nell'app Webex viene visualizzato il messaggio "Impossibile decrittografare questo messaggio".

                                                                                                                                                  Se si è soddisfatti che la distribuzione funzioni correttamente per gli utenti di prova e si è pronti ad estendere la sicurezza dei dati ibridi a tutti gli utenti, spostare la distribuzione in produzione. Gli utenti pilota continuano ad avere accesso alle chiavi in uso durante la prova. Tuttavia, non è possibile spostarsi avanti e indietro tra la modalità di produzione e la versione di prova originale. Se è necessario disattivare il servizio, ad esempio per eseguire il ripristino di emergenza, quando si riattiva è necessario avviare una nuova versione di prova e impostare il set di utenti pilota per la nuova versione di prova prima di tornare alla modalità di produzione. Se gli utenti conservano l'accesso ai dati a questo punto, dipende se sono stati mantenuti con successo i backup dell'archivio dati chiave e del file di configurazione ISO per i nodi di sicurezza dei dati ibridi nel cluster.

                                                                                                                                                  Centro dati standby per ripristino di emergenza

                                                                                                                                                  Durante la distribuzione, è possibile impostare un centro dati standby sicuro. In caso di disastro di un centro dati, è possibile non riuscire manualmente la distribuzione nel centro dati standby.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Failover manuale su centro dati standby

                                                                                                                                                  I database dei centri dati attivi e standby sono sincronizzati tra loro e ciò ridurrà al minimo il tempo necessario per eseguire il failover. Il file ISO del centro dati standby viene aggiornato con configurazioni aggiuntive che assicurano che i nodi siano registrati nell'organizzazione, ma non gestiranno il traffico. Pertanto, i nodi del centro dati standby rimangono sempre aggiornati con l'ultima versione del software HDS.


                                                                                                                                                   

                                                                                                                                                  I nodi di sicurezza dei dati ibridi attivi devono essere sempre nello stesso centro dati del server di database attivo.

                                                                                                                                                  Imposta centro dati standby per ripristino di emergenza

                                                                                                                                                  Effettuare le seguenti operazioni per configurare il file ISO del centro dati standby:

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Il centro dati standby deve rispecchiare l'ambiente di produzione delle VM e un database PostgreSQL o Microsoft SQL Server di backup. Ad esempio, se la produzione dispone di 3 VM con nodi HDS in esecuzione, l'ambiente di backup deve disporre di 3 VM (vedere Centro dati standby per ripristino di emergenza per una panoramica di questo modello di failover).

                                                                                                                                                  • Accertarsi che la sincronizzazione del database sia abilitata tra il database dei nodi cluster attivi e passivi.

                                                                                                                                                  1

                                                                                                                                                  Avviare lo strumento di impostazione HDS e seguire la procedura indicata in Crea una configurazione ISO per gli host HDS.


                                                                                                                                                   

                                                                                                                                                  Il file ISO deve essere una copia del file ISO originale del data center principale su cui devono essere effettuati i seguenti aggiornamenti di configurazione.

                                                                                                                                                  2

                                                                                                                                                  Dopo aver configurato il server Syslogd, fare clic su Impostazioni avanzate

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Impostazioni avanzate, aggiungi la configurazione seguente per posizionare il nodo in modalità passiva. In questa modalità, il nodo verrà registrato nell'organizzazione e connesso al cloud, ma non gestirà alcun traffico.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completa il processo di configurazione e salva il file ISO in una posizione facile da trovare.

                                                                                                                                                  5

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale. Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  6

                                                                                                                                                  Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic con il pulsante destro del mouse sulla VM e fare clic su Modifica impostazioni.

                                                                                                                                                  7

                                                                                                                                                  Fare clic su Modifica impostazioni >Unità CD/DVD 1 e selezionare Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Accertarsi che Connected e Connect all'accensione siano controllati in modo che le modifiche di configurazione aggiornate possano avere effetto dopo l'avvio dei nodi.

                                                                                                                                                  8

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 15 minuti.

                                                                                                                                                  9

                                                                                                                                                  Ripetere la procedura per ogni nodo nel centro dati standby.


                                                                                                                                                   

                                                                                                                                                  Controllare i registri di sistema per verificare che i nodi siano in modalità passiva. È necessario essere in grado di visualizzare il messaggio "KMS configurato in modalità passiva" nei registri di sistema.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Dopo la configurazione passiveMode nel file ISO e salvarlo, è possibile creare un'altra copia del file ISO senza il passiveMode configurazione e salvarla in una posizione sicura. Questa copia del file ISO senza passiveMode configurato può essere di aiuto in un rapido processo di failover durante il ripristino di emergenza. Vedere Ripristino di emergenza utilizzando il centro dati standby per la procedura di failover dettagliata.

                                                                                                                                                  Supporto proxy

                                                                                                                                                  La sicurezza dei dati ibridi supporta proxy espliciti, trasparenti e non ispezionati. È possibile associare questi proxy alla distribuzione in modo da poter proteggere e monitorare il traffico dall'azienda al cloud. È possibile utilizzare un'interfaccia di amministrazione della piattaforma sui nodi per la gestione dei certificati e per controllare lo stato generale della connettività dopo aver impostare il proxy sui nodi.

                                                                                                                                                  I nodi di sicurezza dei dati ibridi supportano le seguenti opzioni proxy:

                                                                                                                                                  • Nessun proxy: impostazione predefinita se non si utilizza la configurazione Trust Store e Proxy del nodo HDS per integrare un proxy. Nessun aggiornamento del certificato richiesto.

                                                                                                                                                  • Proxy non ispezionato trasparente: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non devono richiedere modifiche per lavorare con un proxy non ispezionato. Nessun aggiornamento del certificato richiesto.

                                                                                                                                                  • Tunneling trasparente o ispezione del proxy: i nodi non sono configurati per utilizzare un indirizzo del server proxy specifico. Nessuna modifica di configurazione HTTP o HTTPS è necessaria sui nodi. Tuttavia, i nodi necessitano di un certificato radice in modo che si fidino del proxy. Le deleghe di ispezione vengono solitamente utilizzate dal reparto IT per attuare politiche su cui i siti web possono essere visitati e su quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).

                                                                                                                                                  • Proxy esplicito: con il proxy esplicito, indicare ai nodi HDS quale server proxy e schema di autenticazione utilizzare. Per configurare un proxy esplicito, è necessario immettere le seguenti informazioni su ciascun nodo:

                                                                                                                                                    1. IP/FQDN proxy: indirizzo che può essere utilizzato per raggiungere la macchina proxy.

                                                                                                                                                    2. Porta proxy: un numero di porta utilizzato dal proxy per ascoltare il traffico proxy.

                                                                                                                                                    3. Protocollo proxy: a seconda del supporto del server proxy, scegliere tra i seguenti protocolli:

                                                                                                                                                      • HTTP: visualizza e controlla tutte le richieste inviate dal client.

                                                                                                                                                      • HTTPS: fornisce un canale al server. Il client riceve e convalida il certificato del server.

                                                                                                                                                    4. Tipo di autenticazione: scegliere uno dei seguenti tipi di autenticazione:

                                                                                                                                                      • Nessuno: non è richiesta alcuna ulteriore autenticazione.

                                                                                                                                                        Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

                                                                                                                                                      • Base: utilizzato per un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

                                                                                                                                                        Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

                                                                                                                                                        Richiede di immettere il nome utente e la password su ciascun nodo.

                                                                                                                                                      • Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e la password prima dell'invio tramite la rete.

                                                                                                                                                        Disponibile solo se si seleziona HTTPS come protocollo proxy.

                                                                                                                                                        Richiede di immettere il nome utente e la password su ciascun nodo.

                                                                                                                                                  Esempio di nodi e proxy di sicurezza dei dati ibridi

                                                                                                                                                  Questo diagramma mostra un esempio di connessione tra sicurezza dati ibridi, rete e proxy. Per le opzioni proxy di ispezione trasparente e di ispezione esplicita HTTPS, è necessario installare lo stesso certificato radice sul proxy e sui nodi di sicurezza dei dati ibridi.

                                                                                                                                                  Modalità di risoluzione DNS esterna bloccata (configurazioni proxy esplicite)

                                                                                                                                                  Quando si registra un nodo o si controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud Cisco Webex. Nelle distribuzioni con configurazioni proxy esplicite che non consentono la risoluzione DNS esterna per client interni, se il nodo non riesce a interrogare i server DNS, passa automaticamente in modalità di risoluzione DNS esterna bloccata. In questa modalità, è possibile continuare con la registrazione del nodo e altri test di connettività proxy.

                                                                                                                                                  Preparazione dell'ambiente

                                                                                                                                                  Requisiti per la sicurezza dei dati ibridi

                                                                                                                                                  Requisiti della licenza Cisco Webex

                                                                                                                                                  Per distribuire la sicurezza dei dati ibridi:

                                                                                                                                                  Requisiti desktop docker

                                                                                                                                                  Prima di installare i nodi HDS, è necessario Docker Desktop per eseguire un programma di impostazione. Docker ha recentemente aggiornato il modello di licenza. La tua organizzazione potrebbe richiedere un abbonamento a pagamento per Docker Desktop. Per informazioni dettagliate, vedi il post di blog Docker, " Docker sta aggiornando ed estendendo gli abbonamenti dei prodotti ".

                                                                                                                                                  Requisiti di certificato X.509

                                                                                                                                                  La catena di certificati deve soddisfare i seguenti requisiti:

                                                                                                                                                  Tabella 1. Requisiti di certificato X.509 per la distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Requisito

                                                                                                                                                  Dettagli

                                                                                                                                                  • Firmato da un'autorità di certificazione attendibile (CA)

                                                                                                                                                  Per impostazione predefinita, ci affidiamo alle CA presenti nella lista Mozilla (ad eccezione di WoSign e StartCom) su https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Contiene un nome di dominio nome comune (CN) che identifica la distribuzione di Hybrid Data Security

                                                                                                                                                  • Non è un certificato jolly

                                                                                                                                                  Il CN non deve essere raggiungibile o un organizzatore in diretta. Si consiglia di utilizzare un nome che rifletta la propria organizzazione, ad esempio, hds.company.com.

                                                                                                                                                  Il CN non deve contenere un * (carattere jolly).

                                                                                                                                                  Il CN viene utilizzato per verificare i nodi di sicurezza dei dati ibridi nei client dell'app Webex. Tutti i nodi di sicurezza dei dati ibridi nel cluster utilizzano lo stesso certificato. Il tuo KMS si identifica utilizzando il dominio CN, non qualsiasi dominio definito nei campi x.509v3 SAN.

                                                                                                                                                  Una volta registrato un nodo con questo certificato, non è possibile modificare il nome del dominio CN. Scegliere un dominio che possa essere applicato sia alle distribuzioni di prova che a quelle di produzione.

                                                                                                                                                  • Firma non SHA1

                                                                                                                                                  Il software KMS non supporta le firme SHA1 per la convalida delle connessioni ai KMS di altre organizzazioni.

                                                                                                                                                  • Formattato come file PKCS #12 protetto da password

                                                                                                                                                  • Usa il nome amichevole di kms-private-key per contrassegnare il certificato, la chiave privata e qualsiasi certificato intermedio da caricare.

                                                                                                                                                  È possibile utilizzare un convertitore come OpenSSL per modificare il formato del certificato.

                                                                                                                                                  Quando si esegue lo strumento di impostazione HDS, è necessario immettere la password.

                                                                                                                                                  Il software KMS non applica l'utilizzo delle chiavi o vincoli di utilizzo delle chiavi estesi. Alcune autorità di certificazione richiedono l'applicazione di vincoli di utilizzo chiave estesi a ciascun certificato, come l'autenticazione del server. È possibile utilizzare l'autenticazione del server o altre impostazioni.

                                                                                                                                                  Requisiti organizzatore virtuale

                                                                                                                                                  Gli organizzatori virtuali che verranno impostati come nodi di sicurezza dei dati ibridi nel cluster presentano i seguenti requisiti:

                                                                                                                                                  • Almeno due organizzatori separati (3 consigliati) coposizionati nello stesso centro dati sicuro

                                                                                                                                                  • VMware ESXi 6.5 (o versioni successive) installato e in esecuzione.


                                                                                                                                                     

                                                                                                                                                    È necessario eseguire l'aggiornamento se si dispone di una versione precedente di ESXi.

                                                                                                                                                  • Minimo 4 vCPU, memoria principale da 8 GB, spazio su disco rigido locale da 30 GB per server

                                                                                                                                                  Requisiti server database


                                                                                                                                                   

                                                                                                                                                  Creare un nuovo database per lo storage delle chiavi. Non utilizzare il database predefinito. Le applicazioni HDS, una volta installate, creano lo schema del database.

                                                                                                                                                  Sono disponibili due opzioni per il server del database. I requisiti per ciascuno di essi sono i seguenti:

                                                                                                                                                  Tabella 2. Requisiti del server di database per tipo di database

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  • PostgreSQL 14, 15 o 16, installato e in esecuzione.

                                                                                                                                                  • SQL Server 2016, 2017 o 2019 (Enterprise o Standard) installato.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 richiede il Service Pack 2 e l'aggiornamento cumulativo 2 o successivo.

                                                                                                                                                  Minimo 8 vCPU, memoria principale 16-GB, spazio su disco rigido sufficiente e monitoraggio per assicurarsi che non venga superato (2-TB consigliato se si desidera eseguire il database per un lungo periodo di tempo senza dover aumentare lo storage)

                                                                                                                                                  Minimo 8 vCPU, memoria principale 16-GB, spazio su disco rigido sufficiente e monitoraggio per assicurarsi che non venga superato (2-TB consigliato se si desidera eseguire il database per un lungo periodo di tempo senza dover aumentare lo storage)

                                                                                                                                                  Il software HDS attualmente installa le seguenti versioni del driver per la comunicazione con il server del database:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  Driver Postgres JDBC 42.2.5

                                                                                                                                                  Driver JDBC server SQL 4.6

                                                                                                                                                  Questa versione del driver supporta SQL Server Always On (istanze cluster di failover Always On e gruppi di disponibilità Always On).

                                                                                                                                                  Requisiti aggiuntivi per l'autenticazione Windows rispetto a Microsoft SQL Server

                                                                                                                                                  Se si desidera che i nodi HDS utilizzino l'autenticazione Windows per accedere al database dei keystore su Microsoft SQL Server, è necessaria la seguente configurazione nel proprio ambiente:

                                                                                                                                                  • I nodi HDS, l'infrastruttura Active Directory e il server MS SQL devono essere tutti sincronizzati con NTP.

                                                                                                                                                  • L'account Windows fornito ai nodi HDS deve disporre dell'accesso in lettura/scrittura al database.

                                                                                                                                                  • I server DNS forniti ai nodi HDS devono essere in grado di risolvere il Key Distribution Center (KDC).

                                                                                                                                                  • È possibile registrare l'istanza del database HDS su Microsoft SQL Server come SPN (Service Principal Name) in Active Directory. Vedere Registrazione di un nome principale del servizio per le connessioni Kerberos.

                                                                                                                                                    Lo strumento di impostazione HDS, HDS launcher e KMS locali devono tutti utilizzare l'autenticazione Windows per accedere al database del keystore. Utilizzano i dettagli della configurazione ISO per costruire l'SPN quando si richiede l'accesso con autenticazione Kerberos.

                                                                                                                                                  Requisiti di connettività esterna

                                                                                                                                                  Configurare il firewall per consentire la seguente connettività per le applicazioni HDS:

                                                                                                                                                  Applicazione

                                                                                                                                                  Protocol

                                                                                                                                                  Porta

                                                                                                                                                  Direzione dall'app

                                                                                                                                                  Destinazione

                                                                                                                                                  Nodi di sicurezza dati ibridi

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS e WSS in uscita

                                                                                                                                                  • Server Webex:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Tutti gli organizzatori Common Identity

                                                                                                                                                  • Altri URL elencati per la sicurezza dei dati ibridi nella tabella degli URL aggiuntivi per i servizi ibridi Webex dei requisiti di rete per i servizi Webex

                                                                                                                                                  Strumento di impostazione HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS in uscita

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Tutti gli organizzatori Common Identity

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  I nodi di sicurezza dei dati ibridi funzionano con la traduzione dell'accesso alla rete (NAT) o dietro un firewall, a condizione che il NAT o il firewall consentano le connessioni in uscita richieste alle destinazioni del dominio nella tabella precedente. Per le connessioni in ingresso ai nodi di sicurezza dei dati ibridi, nessuna porta deve essere visibile da Internet. All'interno del centro dati, i client devono accedere ai nodi di sicurezza dei dati ibridi sulle porte TCP 443 e 22 per fini amministrativi.

                                                                                                                                                  Gli URL per gli host Common Identity (CI) sono specifici della regione. Questi sono gli host CI correnti:

                                                                                                                                                  Regione

                                                                                                                                                  URL host identità comune

                                                                                                                                                  Americhe

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Unione Europea

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Canada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Requisiti server proxy

                                                                                                                                                  • Sono supportate ufficialmente le seguenti soluzioni proxy che possono essere integrate con i nodi di sicurezza dei dati ibridi.

                                                                                                                                                  • Sono supportate le seguenti combinazioni di tipi di autenticazione per proxy espliciti:

                                                                                                                                                    • Nessuna autenticazione con HTTP o HTTPS

                                                                                                                                                    • Autenticazione di base con HTTP o HTTPS

                                                                                                                                                    • Autenticazione del digest solo con HTTPS

                                                                                                                                                  • Per un proxy di ispezione trasparente o un proxy esplicito HTTPS, è necessario disporre di una copia del certificato radice del proxy. Le istruzioni di distribuzione in questa guida indicano come caricare la copia negli archivi attendibilità dei nodi di sicurezza dei dati ibridi.

                                                                                                                                                  • È necessario configurare la rete che ospita i nodi HDS per forzare il traffico TCP in uscita sulla porta 443 per l'indirizzamento attraverso il proxy.

                                                                                                                                                  • I proxy che controllano il traffico Web possono interferire con le connessioni dei socket Web. Se si verifica questo problema, aggirare (non ispezionare) il traffico verso wbx2.com e ciscospark.com risolverà il problema.

                                                                                                                                                  Completamento dei prerequisiti per la sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare questa lista di controllo per assicurarsi di essere pronti a installare e configurare il cluster di sicurezza dei dati ibridi.
                                                                                                                                                  1

                                                                                                                                                  Accertarsi che l'organizzazione Webex sia abilitata per Pro Pack per Cisco Webex Control Hub e ottenere le credenziali di un account con diritti di amministratore dell'organizzazione completi. Contattare il partner Cisco o l'account manager per assistenza con questo processo.

                                                                                                                                                  2

                                                                                                                                                  Scegliere un nome di dominio per la distribuzione HDS (ad esempio, hds.company.com) e ottenere una catena di certificati contenente un certificato X.509, chiave privata e qualsiasi certificato intermedio. La catena di certificati deve soddisfare i requisiti di Requisiti di certificato X.509.

                                                                                                                                                  3

                                                                                                                                                  Preparare host virtuali identici che verranno impostati come nodi di sicurezza dei dati ibridi nel cluster. Sono necessari almeno due organizzatori separati (3 consigliati) coposizionati nello stesso centro dati sicuro, che soddisfano i requisiti dei requisiti dell'organizzatore virtuale.

                                                                                                                                                  4

                                                                                                                                                  Preparare il server del database che fungerà da archivio dati chiave per il cluster, in base ai requisiti del server del database. Il server del database deve essere co-posizionato nel centro dati sicuro con gli host virtuali.

                                                                                                                                                  1. Creare un database per lo storage delle chiavi. (È necessario creare questo database; non utilizzare il database predefinito. Le applicazioni HDS, una volta installate, creano lo schema del database.)

                                                                                                                                                  2. Raccogliere i dettagli che i nodi utilizzeranno per comunicare con il server del database:

                                                                                                                                                    • nome host o indirizzo IP (host) e porta

                                                                                                                                                    • nome del database (dbname) per l'archiviazione chiave

                                                                                                                                                    • nome utente e password di un utente con tutti i privilegi nel database di memorizzazione delle chiavi

                                                                                                                                                  5

                                                                                                                                                  Per un rapido ripristino di emergenza, impostare un ambiente di backup in un centro dati diverso. L'ambiente di backup rispecchia l'ambiente di produzione delle VM e un server di database di backup. Ad esempio, se la produzione dispone di 3 VM con nodi HDS in esecuzione, l'ambiente di backup deve disporre di 3 VM.

                                                                                                                                                  6

                                                                                                                                                  Impostare un host syslog per raccogliere i registri dai nodi nel cluster. Raccogliere l'indirizzo di rete e la porta syslog (l'impostazione predefinita è UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Creare un criterio di backup sicuro per i nodi di sicurezza dei dati ibridi, il server di database e l'host syslog. Come minimo, per evitare perdite di dati non recuperabili, è necessario eseguire il backup del database e del file ISO di configurazione generato per i nodi di sicurezza dei dati ibridi.


                                                                                                                                                   

                                                                                                                                                  Poiché i nodi Hybrid Data Security memorizzano le chiavi utilizzate nella crittografia e decrittografia del contenuto, la mancata gestione di una distribuzione operativa comporterà la PERDITA IRRECUPERABILE di tale contenuto.

                                                                                                                                                  I client dell'app Webex memorizzano nella cache le proprie chiavi, pertanto un'interruzione potrebbe non essere immediatamente evidente, ma diventerà evidente nel tempo. Mentre le interruzioni temporanee sono impossibili da prevenire, sono recuperabili. Tuttavia, la perdita completa (nessun backup disponibile) del database o del file ISO di configurazione determinerà dati cliente non recuperabili. Gli operatori dei nodi di sicurezza dei dati ibridi sono tenuti a mantenere frequenti backup del database e del file ISO di configurazione, ed essere preparati a ricostruire il centro dati di sicurezza dei dati ibridi se si verifica un errore catastrofico.

                                                                                                                                                  8

                                                                                                                                                  Assicurarsi che la configurazione del firewall consenta la connettività per i nodi Hybrid Data Security come descritto nei requisiti di connettività esterna.

                                                                                                                                                  9

                                                                                                                                                  Installare il Docker ( https://www.docker.com) su qualsiasi macchina locale che esegue un sistema operativo supportato (Microsoft Windows 10 Professional o Enterprise 64 bit o Mac OSX Yosemite 10.10.3 o superiore) con un browser Web che può accedervi su http://127.0.0.1:8080.

                                                                                                                                                  Utilizzare l'istanza Docker per scaricare ed eseguire lo strumento di impostazione HDS, che crea le informazioni di configurazione locali per tutti i nodi di sicurezza dei dati ibridi. La tua organizzazione potrebbe aver bisogno di una licenza Docker Desktop. Per ulteriori informazioni, vedere Requisiti desktop docker.

                                                                                                                                                  Per installare ed eseguire lo strumento di impostazione HDS, la macchina locale deve disporre della connettività descritta nei requisiti di connettività esterna.

                                                                                                                                                  10

                                                                                                                                                  Se si sta integrando un proxy con la sicurezza dei dati ibridi, assicurarsi che soddisfi i Requisiti del server proxy.

                                                                                                                                                  11

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche, creare un gruppo in Active Directory chiamato HdsTrialGroup e aggiungere gli utenti pilota. Il gruppo di prova può contenere fino a 250 utenti. Il HdsTrialGroup oggetto deve essere sincronizzato con il cloud prima di poter avviare una versione di prova per la propria organizzazione. Per sincronizzare un oggetto di gruppo, selezionarlo in Connettore directory Configurazione > menu Selezione oggetto. (Per istruzioni dettagliate, vedere la Guida alla distribuzione per Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Le chiavi per un determinato spazio sono impostate dal creatore dello spazio. Quando si selezionano gli utenti pilota, tenere presente che se si decide di disattivare in modo permanente la distribuzione di sicurezza dei dati ibridi, tutti gli utenti perderanno l'accesso al contenuto negli spazi creati dagli utenti pilota. La perdita diventa evidente non appena le app degli utenti aggiornano le copie memorizzate nella cache del contenuto.

                                                                                                                                                  Impostazione di un cluster di sicurezza dei dati ibridi

                                                                                                                                                  Flusso attività distribuzione sicurezza dati ibridi

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Preparazione dell'ambiente

                                                                                                                                                  1

                                                                                                                                                  Scarica file di installazione

                                                                                                                                                  Scaricare il file OVA sulla macchina locale per utilizzarlo successivamente.

                                                                                                                                                  2

                                                                                                                                                  Creazione di un ISO di configurazione per gli host HDS

                                                                                                                                                  Utilizzare lo strumento di impostazione HDS per creare un file di configurazione ISO per i nodi di sicurezza dei dati ibridi.

                                                                                                                                                  3

                                                                                                                                                  Installazione del file OVA organizzatore HDS

                                                                                                                                                  Creare una macchina virtuale dal file OVA ed eseguire la configurazione iniziale, come le impostazioni di rete.


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  4

                                                                                                                                                  Impostazione della sicurezza dei dati ibridi VM

                                                                                                                                                  Accedere alla console VM e impostare le credenziali di accesso. Configura le impostazioni di rete per il nodo se non le hai configurate al momento della distribuzione OVA.

                                                                                                                                                  5

                                                                                                                                                  Caricamento e montaggio della configurazione HDS ISO

                                                                                                                                                  Configurare la VM dal file di configurazione ISO creato con lo strumento di impostazione HDS.

                                                                                                                                                  6

                                                                                                                                                  Configurazione del nodo HDS per l'integrazione proxy

                                                                                                                                                  Se l'ambiente di rete richiede la configurazione del proxy, specificare il tipo di proxy che verrà utilizzato per il nodo e aggiungere il certificato proxy all'archivio attendibilità, se necessario.

                                                                                                                                                  7

                                                                                                                                                  Registrazione del primo nodo nel cluster

                                                                                                                                                  Registrare la VM con il cloud Cisco Webex come nodo di sicurezza dei dati ibridi.

                                                                                                                                                  8

                                                                                                                                                  Creazione e registrazione di altri nodi

                                                                                                                                                  Completare l'impostazione del cluster.

                                                                                                                                                  9

                                                                                                                                                  Eseguire una versione di prova e passare alla produzione (capitolo successivo)

                                                                                                                                                  Fino a quando non si avvia una versione di prova, i nodi generano un allarme a indicare che il servizio non è ancora attivato.

                                                                                                                                                  Scarica file di installazione

                                                                                                                                                  In questa attività, è possibile scaricare un file OVA sulla macchina (non sui server configurati come nodi di sicurezza dei dati ibridi). Utilizzare questo file in seguito nel processo di installazione.
                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com, quindi fare clic su Servizi.

                                                                                                                                                  2

                                                                                                                                                  Nella sezione Servizi ibridi, trovare la scheda di sicurezza dei dati ibridi, quindi fare clic su Imposta.

                                                                                                                                                  Se la scheda è disabilitata o non viene visualizzata, contattare il team dell'account o l'organizzazione partner. Fornisci il tuo numero di account e chiedi di abilitare la sicurezza dei dati ibridi per la tua organizzazione. Per trovare il numero di account, fare clic sull'ingranaggio in alto a destra accanto al nome dell'organizzazione.


                                                                                                                                                   

                                                                                                                                                  È inoltre possibile scaricare il file OVA in qualsiasi momento dalla sezione Guida della pagina Impostazioni. Nella scheda Sicurezza dati ibridi, fare clic su Modifica impostazioni per aprire la pagina. Quindi, fare clic su Scarica software di sicurezza dati ibridi nella sezione Guida .


                                                                                                                                                   

                                                                                                                                                  Le versioni precedenti del pacchetto software (OVA) non saranno compatibili con gli ultimi aggiornamenti di sicurezza dati ibridi. Ciò può provocare problemi durante l'aggiornamento dell'applicazione. Accertarsi di scaricare l'ultima versione del file OVA.

                                                                                                                                                  3

                                                                                                                                                  Seleziona No per indicare che non hai ancora impostato il nodo, quindi fai clic su Avanti.

                                                                                                                                                  Il file OVA inizia automaticamente al download. Salvare il file in una posizione sulla macchina.
                                                                                                                                                  4

                                                                                                                                                  Opzionalmente, fare clic su Apri guida alla distribuzione per verificare se è disponibile una versione successiva di questa guida.

                                                                                                                                                  Creazione di un ISO di configurazione per gli host HDS

                                                                                                                                                  Il processo di impostazione della sicurezza dei dati ibridi crea un file ISO. Quindi, utilizzare l'ISO per configurare l'host Hybrid Data Security.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Lo strumento di impostazione HDS viene eseguito come contenitore Docker su una macchina locale. Per accedervi, eseguire Docker su tale macchina. Il processo di impostazione richiede le credenziali di un account Control Hub con diritti di amministratore completi per l'organizzazione.

                                                                                                                                                    Se lo strumento di impostazione HDS viene eseguito dietro un proxy nel proprio ambiente, fornire le impostazioni del proxy (server, porta, credenziali) attraverso le variabili di ambiente Docker quando si solleva il contenitore Docker al punto 5. Questa tabella fornisce alcune possibili variabili di ambiente:

                                                                                                                                                    Descrizione

                                                                                                                                                    Variabile

                                                                                                                                                    proxy HTTP senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    proxy HTTP con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Il file ISO di configurazione generato contiene la chiave principale che crittografa il database PostgreSQL o Microsoft SQL Server. È necessaria l'ultima copia di questo file ogni volta che si apportano modifiche di configurazione, come queste:

                                                                                                                                                    • Credenziali del database

                                                                                                                                                    • Aggiornamenti dei certificati

                                                                                                                                                    • Modifiche ai criteri di autorizzazione

                                                                                                                                                  • Se si intende crittografare le connessioni al database, impostare la distribuzione di PostgreSQL o SQL Server per TLS.

                                                                                                                                                  1

                                                                                                                                                  Nella riga di comando della macchina, immettere il comando appropriato per l'ambiente:

                                                                                                                                                  In ambienti normali:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  In ambienti FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Questo passaggio ripulisce le immagini precedenti dello strumento di impostazione HDS. Se non sono presenti immagini precedenti, viene restituito un errore che può essere ignorato.

                                                                                                                                                  2

                                                                                                                                                  Per accedere al registro immagini Docker, immettere quanto segue:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  Alla richiesta della password, immettere questo hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Scaricare l'immagine stabile più recente per il proprio ambiente:

                                                                                                                                                  In ambienti normali:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  In ambienti FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Al termine del pull, immettere il comando appropriato per l'ambiente:

                                                                                                                                                  • In ambienti normali senza proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti normali con un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti normali con un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti FedRAMP senza proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • In ambienti FedRAMP con un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • In ambienti FedRAMP con un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Quando il contenitore è in esecuzione, viene visualizzato il messaggio "server Express in attesa sulla porta 8080".

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Lo strumento Imposta non supporta la connessione a localhost tramite http://localhost:8080. Usa http://127.0.0.1:8080 per connetterti a localhost.

                                                                                                                                                  Utilizzare un browser Web per passare all'host locale, http://127.0.0.1:8080 e immettere il nome utente di amministrazione cliente per Control Hub al prompt.

                                                                                                                                                  Lo strumento utilizza questa prima voce del nome utente per impostare l'ambiente appropriato per tale account. Lo strumento visualizza la richiesta di accesso standard.

                                                                                                                                                  7

                                                                                                                                                  Quando richiesto, inserisci le credenziali di accesso amministratore cliente Control Hub, quindi fai clic su Accedi per consentire l'accesso ai servizi richiesti per la sicurezza dei dati ibridi.

                                                                                                                                                  8

                                                                                                                                                  Nella pagina di panoramica dello Strumento di impostazione, fare clic su Introduzione.

                                                                                                                                                  9

                                                                                                                                                  Nella pagina Importazione ISO sono disponibili le seguenti opzioni:

                                                                                                                                                  • No: se stai creando il tuo primo nodo HDS, non disponi di un file ISO da caricare.
                                                                                                                                                  • : se sono già stati creati nodi HDS, selezionare il file ISO nel browser e caricarlo.
                                                                                                                                                  10

                                                                                                                                                  Verificare che il certificato X.509 soddisfi i requisiti di Requisiti di certificato X.509.

                                                                                                                                                  • Se non è mai stato caricato un certificato prima, caricare il certificato X.509, immettere la password e fare clic su Continua.
                                                                                                                                                  • Se il certificato è OK, fare clic su Continua.
                                                                                                                                                  • Se il certificato è scaduto o si desidera sostituirlo, selezionare No per Continua a utilizzare la catena di certificati HDS e la chiave privata della precedente ISO?. Caricare un nuovo certificato X.509, immettere la password e fare clic su Continua.
                                                                                                                                                  11

                                                                                                                                                  Inserire l'indirizzo del database e l'account per HDS per accedere al datastore della chiave:

                                                                                                                                                  1. Selezionare il tipo di database (PostgreSQL o Microsoft SQL Server).

                                                                                                                                                    Se si sceglie Microsoft SQL Server, viene visualizzato un campo Tipo di autenticazione.

                                                                                                                                                  2. (solo Microsoft SQL Server) Selezionare il tipo di autenticazione:

                                                                                                                                                    • Autenticazione di base: È necessario un nome di account SQL Server locale nel campo Nome utente.

                                                                                                                                                    • Autenticazione di Windows: È necessario un account Windows nel formato username@DOMAIN nel campo Nome utente.

                                                                                                                                                  3. Immettere l'indirizzo del server del database nel modulo <hostname>:<port> o <IP-address>:<port>.

                                                                                                                                                    Esempio:
                                                                                                                                                    dbhost.example.org:1433 o 198.51.100.17:1433

                                                                                                                                                    È possibile utilizzare un indirizzo IP per l'autenticazione di base, se i nodi non possono utilizzare il DNS per risolvere il nome host.

                                                                                                                                                    Se si utilizza l'autenticazione Windows, è necessario immettere un nome di dominio completo nel formato dbhost.example.org:1433

                                                                                                                                                  4. Immettere il nome del database.

                                                                                                                                                  5. Immettere il nome utente e la password di un utente con tutti i privilegi nel database di storage dei tasti.

                                                                                                                                                  12

                                                                                                                                                  Selezionare una modalità di connessione al database TLS:

                                                                                                                                                  Mode

                                                                                                                                                  Descrizione

                                                                                                                                                  Preferire TLS (opzione predefinita)

                                                                                                                                                  I nodi HDS non richiedono che TLS si connetta al server del database. Se si abilita TLS sul server del database, i nodi tentano una connessione crittografata.

                                                                                                                                                  Richiedi TLS

                                                                                                                                                  I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  Require TLS e verificare il firmatario del certificato


                                                                                                                                                   

                                                                                                                                                  Questa modalità non è applicabile ai database del server SQL.

                                                                                                                                                  • I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  • Dopo aver stabilito una connessione TLS, il nodo confronta il firmatario del certificato dal server del database con l'autorità di certificazione nel certificato principale del database. Se non corrispondono, il nodo interrompe la connessione.

                                                                                                                                                  Utilizzare il certificato radice database sotto l'elenco a discesa per caricare il certificato radice per questa opzione.

                                                                                                                                                  Require TLS e verificare il firmatario del certificato e il nome host

                                                                                                                                                  • I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  • Dopo aver stabilito una connessione TLS, il nodo confronta il firmatario del certificato dal server del database con l'autorità di certificazione nel certificato principale del database. Se non corrispondono, il nodo interrompe la connessione.

                                                                                                                                                  • I nodi verificano anche che il nome host nel certificato del server corrisponda al nome host nel campo Host database e porta. I nomi devono corrispondere esattamente oppure il nodo interrompe la connessione.

                                                                                                                                                  Utilizzare il certificato radice database sotto l'elenco a discesa per caricare il certificato radice per questa opzione.

                                                                                                                                                  Quando si carica il certificato radice (se necessario) e si fa clic su Continua, lo strumento di impostazione HDS verifica la connessione TLS al server del database. Lo strumento verifica anche il firmatario del certificato e il nome host, se applicabile. Se un test non viene superato, lo strumento visualizza un messaggio di errore descrive il problema. È possibile scegliere di ignorare l'errore e continuare con l'impostazione. A causa delle differenze di connettività, i nodi HDS potrebbero essere in grado di stabilire la connessione TLS anche se la macchina dello strumento di impostazione HDS non può testarla correttamente.

                                                                                                                                                  13

                                                                                                                                                  Nella pagina Registri di sistema, configurare il server Syslogd:

                                                                                                                                                  1. Immettere l'URL del server syslog.

                                                                                                                                                    Se il server non è risolvibile con DNS dai nodi per il cluster HDS, utilizzare un indirizzo IP nell'URL.

                                                                                                                                                    Esempio:
                                                                                                                                                    udp://10.92.43.23:514 indica l'accesso all'host Syslogd 10.92.43.23 sulla porta UDP 514.
                                                                                                                                                  2. Se si imposta il server per utilizzare la crittografia TLS, verificare che Il server syslog sia configurato per la crittografia SSL?.

                                                                                                                                                    Se si seleziona questa casella di controllo, accertarsi di inserire un URL TCP come tcp://10.92.43.23:514.

                                                                                                                                                  3. Dal menu a discesa Scegli terminazione record syslog, scegli l'impostazione appropriata per il tuo file ISO: Scegli o Newline viene utilizzato per Graylog e Rsyslog TCP

                                                                                                                                                    • Byte nullo -- \x00

                                                                                                                                                    • Newline -- \n—Selezionare questa scelta per Graylog e Rsyslog TCP.

                                                                                                                                                  4. Fare clic su Continua.

                                                                                                                                                  14

                                                                                                                                                  (Opzionale) È possibile modificare il valore predefinito per alcuni parametri di connessione al database in Impostazioni avanzate. In generale, questo parametro è l'unico parametro che si potrebbe voler modificare:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Fare clic su Continua nella schermata Reimposta password account di servizio.

                                                                                                                                                  Le password degli account di servizio hanno una durata di nove mesi. Utilizzare questa schermata quando le password sono prossime alla scadenza o si desidera reimpostarle per invalidare i file ISO precedenti.

                                                                                                                                                  16

                                                                                                                                                  Fare clic su Scarica file ISO. Salva il file in una posizione facile da trovare.

                                                                                                                                                  17

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale.

                                                                                                                                                  Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  18

                                                                                                                                                  Per chiudere lo strumento di installazione, digitare CTRL+C.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Eseguire il backup del file ISO di configurazione. È necessario creare più nodi per il ripristino o apportare modifiche alla configurazione. Se si perdono tutte le copie del file ISO, si perde anche la chiave principale. Non è possibile recuperare le chiavi dal database PostgreSQL o Microsoft SQL Server.


                                                                                                                                                   

                                                                                                                                                  Non abbiamo mai una copia di questa chiave e non possiamo aiutarti se la perdi.

                                                                                                                                                  Installazione del file OVA organizzatore HDS

                                                                                                                                                  Utilizzare questa procedura per creare una macchina virtuale dal file OVA.
                                                                                                                                                  1

                                                                                                                                                  Utilizzare il client VMware vSphere sul computer per accedere all'host virtuale ESXi.

                                                                                                                                                  2

                                                                                                                                                  Selezionare File > Distribuisci modello OVF.

                                                                                                                                                  3

                                                                                                                                                  Nella procedura guidata, specificare la posizione del file OVA scaricato in precedenza, quindi fare clic su Successivo.

                                                                                                                                                  4

                                                                                                                                                  Il Seleziona un nome e una cartella pagina , inserisci un Nome macchina virtuale per il nodo (ad esempio, "HDS_Node_1"), scegliere una posizione in cui può risiedere la distribuzione del nodo della macchina virtuale, quindi fare clic su Successivo.

                                                                                                                                                  5

                                                                                                                                                  Il Seleziona una risorsa di calcolo pagina , scegliere la risorsa di calcolo della destinazione, quindi fare clic su Successivo.

                                                                                                                                                  Viene eseguito un controllo di convalida. Al termine, vengono visualizzati i dettagli del modello.

                                                                                                                                                  6

                                                                                                                                                  Verificare i dettagli del modello, quindi fare clic su Avanti.

                                                                                                                                                  7

                                                                                                                                                  Se viene richiesto di scegliere la configurazione delle risorse in Configurazione pagina , fare clic su 4 CPU e fare clic su Successivo.

                                                                                                                                                  8

                                                                                                                                                  Il Seleziona storage pagina , fare clic su Successivo per accettare il formato di disco predefinito e i criteri di storage della VM.

                                                                                                                                                  9

                                                                                                                                                  Il Seleziona reti, scegliere l'opzione di rete dall'elenco di voci per fornire la connettività desiderata alla VM.

                                                                                                                                                  10

                                                                                                                                                  Nella pagina Personalizza modello, configurare le seguenti impostazioni di rete:

                                                                                                                                                  • Nome host: inserisci il nome host FQDN (nome host e dominio) o un nome host di singola parola per il nodo.

                                                                                                                                                     
                                                                                                                                                    • Non è necessario impostare il dominio in base al dominio utilizzato per ottenere il certificato X.509.

                                                                                                                                                    • Per garantire una registrazione corretta nel cloud, utilizza solo caratteri minuscoli nel nome host o FQDN impostato per il nodo. La capitalizzazione non è attualmente supportata.

                                                                                                                                                    • La lunghezza totale del nome di dominio completo non deve superare 64 caratteri.

                                                                                                                                                  • Indirizzo IP: immettere l'indirizzo IP per l'interfaccia interna del nodo.

                                                                                                                                                     

                                                                                                                                                    Il nodo deve disporre di un indirizzo IP interno e di un nome DNS. DHCP non è supportato.

                                                                                                                                                  • Maschera: immettere l'indirizzo della subnet mask in notazione dot decimale. ad esempio, 255.255.255.0.
                                                                                                                                                  • Gateway: immettere l'indirizzo IP del gateway. Un gateway è un nodo di rete che funge da punto di accesso a un'altra rete.
                                                                                                                                                  • Server DNS: immettere un elenco separato da virgole di server DNS, che gestiscono la traduzione dei nomi di dominio in indirizzi IP numerici. (Sono consentite fino a 4 voci DNS).
                                                                                                                                                  • Server NTP: inserire il server NTP della propria organizzazione o un altro server NTP esterno che può essere utilizzato nella propria organizzazione. I server NTP predefiniti potrebbero non funzionare per tutte le aziende. È inoltre possibile utilizzare un elenco separato da virgole per immettere più server NTP.
                                                                                                                                                  • Distribuire tutti i nodi sulla stessa subnet o VLAN, in modo che tutti i nodi in un cluster siano raggiungibili dai client nella rete per scopi amministrativi.

                                                                                                                                                  Se si preferisce, è possibile ignorare la configurazione delle impostazioni di rete e seguire la procedura riportata in Imposta la sicurezza dei dati ibridi VM per configurare le impostazioni dalla console del nodo.


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  11

                                                                                                                                                  Fare clic con il pulsante destro del mouse sulla VM del nodo, quindi scegliere Alimentazione > Accensione.

                                                                                                                                                  Il software di sicurezza dei dati ibridi è installato come ospite sull'host VM. A questo punto, è possibile accedere alla console e configurare il nodo.

                                                                                                                                                  Suggerimenti per la risoluzione dei problemi

                                                                                                                                                  È possibile che si verifichi un ritardo di alcuni minuti prima che i contenitori del nodo salgano. Un messaggio del firewall bridge viene visualizzato sulla console durante il primo avvio, durante il quale non è possibile accedere.

                                                                                                                                                  Impostazione della sicurezza dei dati ibridi VM

                                                                                                                                                  Utilizzare questa procedura per accedere per la prima volta alla console VM del nodo Hybrid Data Security e impostare le credenziali di accesso. È inoltre possibile utilizzare la console per configurare le impostazioni di rete per il nodo se non sono state configurate al momento della distribuzione OVA.

                                                                                                                                                  1

                                                                                                                                                  Nel client VMware vSphere, selezionare il nodo Hybrid Data Security VM e selezionare la scheda Console.

                                                                                                                                                  La VM si avvia e viene visualizzata una richiesta di accesso. Se il prompt di accesso non viene visualizzato, premere Invio.
                                                                                                                                                  2

                                                                                                                                                  Per accedere e modificare le credenziali, utilizzare le seguenti credenziali predefinite:

                                                                                                                                                  1. Login: admin

                                                                                                                                                  2. Password: cisco

                                                                                                                                                  Poiché si esegue l'accesso alla VM per la prima volta, è necessario modificare la password dell'amministratore.

                                                                                                                                                  3

                                                                                                                                                  Se sono già state configurate le impostazioni di rete in Install the HDS Host OVA, ignorare il resto di questa procedura. Altrimenti, nel menu principale, selezionare l'opzione Modifica configurazione.

                                                                                                                                                  4

                                                                                                                                                  Impostare una configurazione statica con indirizzo IP, maschera, gateway e informazioni DNS. Il nodo deve disporre di un indirizzo IP interno e di un nome DNS. DHCP non è supportato.

                                                                                                                                                  5

                                                                                                                                                  (Opzionale) Modificare il nome host, il dominio o i server NTP, se necessario per corrispondere ai criteri di rete.

                                                                                                                                                  Non è necessario impostare il dominio in base al dominio utilizzato per ottenere il certificato X.509.

                                                                                                                                                  6

                                                                                                                                                  Salvare la configurazione della rete e riavviare la VM in modo che le modifiche abbiano effetto.

                                                                                                                                                  Caricamento e montaggio della configurazione HDS ISO

                                                                                                                                                  Utilizzare questa procedura per configurare la macchina virtuale dal file ISO creato con lo strumento di impostazione HDS.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Poiché il file ISO contiene la chiave principale, deve essere esposto solo in base alla necessità di sapere, per l'accesso da parte delle VM di sicurezza dei dati ibridi e di qualsiasi amministratore che potrebbe aver bisogno di apportare modifiche. Accertarsi che solo gli amministratori possano accedere al datastore.

                                                                                                                                                  1

                                                                                                                                                  Caricare il file ISO dal computer:

                                                                                                                                                  1. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul server ESXi.

                                                                                                                                                  2. Nell'elenco hardware della scheda Configurazione, fare clic su Storage.

                                                                                                                                                  3. Nell'elenco dei datastore, fare clic con il pulsante destro del mouse sul datastore delle macchine virtuali e fare clic su Sfoglia datastore.

                                                                                                                                                  4. Fare clic sull’icona Carica file, quindi fare clic su Carica file.

                                                                                                                                                  5. Individuare la posizione in cui è stato scaricato il file ISO sul computer e fare clic su Apri.

                                                                                                                                                  6. Fare clic su per accettare l'avviso di caricamento/download e chiudere la finestra di dialogo del datastore.

                                                                                                                                                  2

                                                                                                                                                  Montare il file ISO:

                                                                                                                                                  1. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul pulsante destro del mouse sulla macchina virtuale, quindi fare clic su Modifica impostazioni.

                                                                                                                                                  2. Fare clic su OK per accettare l'avviso delle opzioni di modifica limitate.

                                                                                                                                                  3. Fare clic CD/DVD Drive 1, selezionare l'opzione per il montaggio da un file ISO datastore e passare alla posizione in cui è stato caricato il file ISO di configurazione.

                                                                                                                                                  4. Controllare Connesso e Connetti all'accensione.

                                                                                                                                                  5. Salvare le modifiche e riavviare la macchina virtuale.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Se i criteri IT lo richiedono, è possibile smontare opzionalmente il file ISO dopo che tutti i nodi rilevano le modifiche di configurazione. Per ulteriori informazioni, vedere (Opzionale) Smontaggio dell'ISO dopo la configurazione HDS.

                                                                                                                                                  Configurazione del nodo HDS per l'integrazione proxy

                                                                                                                                                  Se l'ambiente di rete richiede un proxy, utilizzare questa procedura per specificare il tipo di proxy che si desidera integrare con la sicurezza dei dati ibridi. Se si sceglie un proxy di ispezione trasparente o un proxy esplicito HTTPS, è possibile utilizzare l'interfaccia del nodo per caricare e installare il certificato radice. È inoltre possibile controllare la connessione del proxy dall'interfaccia e risolvere eventuali problemi.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  1

                                                                                                                                                  Inserisci l'URL di impostazione del nodo HDS https://[HDS Node IP or FQDN]/setup in un browser Web, immettere le credenziali di amministrazione impostate per il nodo, quindi fare clic su Accedi.

                                                                                                                                                  2

                                                                                                                                                  Vai su Trust Store & Proxy, quindi scegli un'opzione:

                                                                                                                                                  • Nessun proxy: opzione predefinita prima dell'integrazione di un proxy. Nessun aggiornamento del certificato richiesto.
                                                                                                                                                  • Proxy non ispezionato trasparente: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non devono richiedere modifiche per lavorare con un proxy non ispezionato. Nessun aggiornamento del certificato richiesto.
                                                                                                                                                  • Proxy con ispezione trasparente: i nodi non sono configurati per utilizzare un indirizzo del server proxy specifico. Nessuna modifica alla configurazione HTTPS è necessaria nella distribuzione di Hybrid Data Security; tuttavia, i nodi HDS necessitano di un certificato radice in modo che si fidino del proxy. Le deleghe di ispezione vengono solitamente utilizzate dal reparto IT per attuare politiche su cui i siti web possono essere visitati e su quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).
                                                                                                                                                  • Proxy esplicito: con il proxy esplicito, indicare al client (nodi HDS) quale server proxy utilizzare e questa opzione supporta diversi tipi di autenticazione. Una volta scelta questa opzione, è necessario immettere le seguenti informazioni:
                                                                                                                                                    1. IP/FQDN proxy: indirizzo che può essere utilizzato per raggiungere la macchina proxy.

                                                                                                                                                    2. Porta proxy: un numero di porta utilizzato dal proxy per ascoltare il traffico proxy.

                                                                                                                                                    3. Protocollo proxy: selezionare http (visualizza e controlla tutte le richieste ricevute dal client) o https (fornisce un canale al server e il client riceve e convalida il certificato del server). Scegliere un'opzione in base a quanto supportato dal server proxy.

                                                                                                                                                    4. Tipo di autenticazione: scegliere uno dei seguenti tipi di autenticazione:

                                                                                                                                                      • Nessuno: non è richiesta alcuna ulteriore autenticazione.

                                                                                                                                                        Disponibile per i proxy HTTP o HTTPS.

                                                                                                                                                      • Base: utilizzato per un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

                                                                                                                                                        Disponibile per i proxy HTTP o HTTPS.

                                                                                                                                                        Se si sceglie questa opzione, è necessario immettere anche il nome utente e la password.

                                                                                                                                                      • Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e la password prima dell'invio tramite la rete.

                                                                                                                                                        Disponibile solo per proxy HTTPS.

                                                                                                                                                        Se si sceglie questa opzione, è necessario immettere anche il nome utente e la password.

                                                                                                                                                  Seguire i passaggi successivi per un proxy di ispezione trasparente, un proxy esplicito HTTP con autenticazione di base o un proxy esplicito HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Fare clic su Carica un certificato radice o un certificato dell'entità finale, quindi selezionare il certificato radice per il proxy.

                                                                                                                                                  Il certificato viene caricato ma non ancora installato poiché è necessario riavviare il nodo per installare il certificato. Fare clic sulla freccia chevron accanto al nome dell'emittente del certificato per ottenere ulteriori dettagli oppure fare clic su Elimina se si è commesso un errore e si desidera ricaricare il file.

                                                                                                                                                  4

                                                                                                                                                  Fare clic su Verifica connessione proxy per verificare la connettività di rete tra il nodo e il proxy.

                                                                                                                                                  Se il test di connessione non riesce, viene visualizzato un messaggio di errore che mostra il motivo e come è possibile correggere il problema.

                                                                                                                                                  Se viene visualizzato un messaggio che indica che la risoluzione DNS esterna non è riuscita, il nodo non è stato in grado di raggiungere il server DNS. Questa condizione è prevista in molte configurazioni proxy esplicite. È possibile continuare con l'impostazione e il nodo funzionerà in modalità di risoluzione DNS esterna bloccata. Se si ritiene che si tratti di un errore, completare questa procedura, quindi vedere Disattivazione della modalità di risoluzione DNS esterna bloccata.

                                                                                                                                                  5

                                                                                                                                                  Una volta superato il test di connessione, per il proxy esplicito impostato solo su https, attivare il tasto di alternanza Indirizza tutte le richieste https della porta 443/444 da questo nodo attraverso il proxy esplicito. Questa impostazione richiede 15 secondi per avere effetto.

                                                                                                                                                  6

                                                                                                                                                  Fare clic su Installa tutti i certificati nell'archivio attendibilità (viene visualizzato per un proxy esplicito HTTPS o un proxy di ispezione trasparente) o su Riavvia (viene visualizzato per un proxy esplicito HTTP), leggere il prompt, quindi fare clic su Installa se si è pronti.

                                                                                                                                                  Il nodo si riavvia entro pochi minuti.

                                                                                                                                                  7

                                                                                                                                                  Una volta riavviato il nodo, eseguire di nuovo l'accesso, se necessario, quindi aprire la pagina Panoramica per controllare i controlli di connettività e assicurarsi che siano tutti in stato verde.

                                                                                                                                                  Il controllo della connessione proxy verifica solo un sottodominio di webex.com. Se si verificano problemi di connettività, un problema comune è che alcuni dei domini cloud elencati nelle istruzioni di installazione vengono bloccati sul proxy.

                                                                                                                                                  Registrazione del primo nodo nel cluster

                                                                                                                                                  Questa attività prende il nodo generico creato in Imposta VM di sicurezza dei dati ibridi, registra il nodo con il cloud Webex e lo trasforma in un nodo di sicurezza dei dati ibridi.

                                                                                                                                                  Quando registri il primo nodo, crei un cluster a cui è assegnato il nodo. Un cluster contiene uno o più nodi distribuiti per fornire ridondanza.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Una volta iniziata la registrazione di un nodo, è necessario completarlo entro 60 minuti o iniziare da capo.

                                                                                                                                                  • Accertarsi che eventuali blocchi popup nel browser siano disabilitati o che sia consentita un'eccezione per admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  Dal menu sul lato sinistro della schermata, selezionare Servizi.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Servizi ibridi, trovare Sicurezza dati ibridi e fare clic su Imposta.

                                                                                                                                                  Viene visualizzata la pagina Registra nodo sicurezza dati ibridi.
                                                                                                                                                  4

                                                                                                                                                  Seleziona per indicare che hai impostato il nodo e che sei pronto a registrarlo, quindi fai clic su Avanti.

                                                                                                                                                  5

                                                                                                                                                  Nel primo campo, immettere un nome per il cluster a cui si desidera assegnare il nodo di sicurezza dei dati ibridi.

                                                                                                                                                  Si consiglia di assegnare un nome a un cluster in base alla posizione geografica dei nodi del cluster. Esempi: "San Francisco" o "New York" o "Dallas"

                                                                                                                                                  6

                                                                                                                                                  Nel secondo campo, immettere l'indirizzo IP interno o il nome di dominio completo del nodo e fare clic su Avanti.

                                                                                                                                                  Questo indirizzo IP o FQDN deve corrispondere all'indirizzo IP o al nome host e al dominio utilizzati in Impostazione della VM di sicurezza dei dati ibridi.

                                                                                                                                                  Viene visualizzato un messaggio che indica che è possibile registrare il nodo su Webex.
                                                                                                                                                  7

                                                                                                                                                  Fare clic su Vai a nodo.

                                                                                                                                                  8

                                                                                                                                                  Fare clic su Continua nel messaggio di avviso.

                                                                                                                                                  Dopo alcuni istanti, si viene reindirizzati ai test di connettività del nodo per i servizi Webex. Se tutti i test vengono eseguiti correttamente, viene visualizzata la pagina Consenti accesso al nodo di sicurezza dei dati ibridi. Qui, confermi di voler concedere le autorizzazioni alla tua organizzazione Webex per accedere al nodo.
                                                                                                                                                  9

                                                                                                                                                  Selezionare la casella di controllo Consenti accesso al nodo di sicurezza dei dati ibridi, quindi fare clic su Continua.

                                                                                                                                                  L'account viene convalidato e il messaggio "Registrazione completa" indica che il nodo è ora registrato nel cloud Webex.
                                                                                                                                                  10

                                                                                                                                                  Fare clic sul collegamento o chiudere la scheda per tornare alla pagina Sicurezza dei dati ibridi di Control Hub.

                                                                                                                                                  Nella pagina Sicurezza dati ibridi, viene visualizzato il nuovo cluster contenente il nodo registrato. Il nodo scaricherà automaticamente l'ultimo software dal cloud.

                                                                                                                                                  Creazione e registrazione di altri nodi

                                                                                                                                                  Per aggiungere altri nodi al cluster, è sufficiente creare ulteriori VM e montare lo stesso file ISO di configurazione, quindi registrare il nodo. Si consiglia di avere almeno 3 nodi.

                                                                                                                                                   

                                                                                                                                                  In questo momento, le VM di backup create in Completa i prerequisiti per la sicurezza dei dati ibridi sono host standby utilizzati solo in caso di ripristino di emergenza; fino a quel momento non sono registrati nel sistema. Per informazioni dettagliate, vedere Ripristino di emergenza utilizzando il centro dati standby.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Una volta iniziata la registrazione di un nodo, è necessario completarlo entro 60 minuti o iniziare da capo.

                                                                                                                                                  • Accertarsi che eventuali blocchi popup nel browser siano disabilitati o che sia consentita un'eccezione per admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Creare una nuova macchina virtuale dal file OVA, ripetendo le operazioni descritte in Installazione del file OVA host HDS.

                                                                                                                                                  2

                                                                                                                                                  Impostare la configurazione iniziale sulla nuova VM, ripetendo i passaggi in Imposta la sicurezza dei dati ibridi VM.

                                                                                                                                                  3

                                                                                                                                                  Nella nuova VM, ripetere le operazioni riportate in Upload and Mount the HDS Configuration ISO.

                                                                                                                                                  4

                                                                                                                                                  Se si sta impostando un proxy per la distribuzione, ripetere i passaggi in Configura il nodo HDS per l'integrazione proxy come necessario per il nuovo nodo.

                                                                                                                                                  5

                                                                                                                                                  Registrare il nodo.

                                                                                                                                                  1. In https://admin.webex.com, selezionare Servizi dal menu sul lato sinistro dello schermo.

                                                                                                                                                  2. Nella sezione Hybrid Services (Servizi ibridi), trovare la scheda Hybrid Data Security (Sicurezza dati ibridi) e fare clic su Resources (Risorse).

                                                                                                                                                    Viene visualizzata la pagina Risorse sicurezza dati ibridi.
                                                                                                                                                  3. Fare clic su Aggiungi risorsa.

                                                                                                                                                  4. Nel primo campo, selezionare il nome del cluster esistente.

                                                                                                                                                  5. Nel secondo campo, immettere l'indirizzo IP interno o il nome di dominio completo del nodo e fare clic su Avanti.

                                                                                                                                                    Viene visualizzato un messaggio che indica che è possibile registrare il nodo sul cloud Webex.
                                                                                                                                                  6. Fare clic su Vai a nodo.

                                                                                                                                                    Dopo alcuni istanti, si viene reindirizzati ai test di connettività del nodo per i servizi Webex. Se tutti i test vengono eseguiti correttamente, viene visualizzata la pagina Consenti accesso al nodo di sicurezza dei dati ibridi. Qui, confermi di voler concedere le autorizzazioni alla tua organizzazione per accedere al tuo nodo.
                                                                                                                                                  7. Selezionare la casella di controllo Consenti accesso al nodo di sicurezza dei dati ibridi, quindi fare clic su Continua.

                                                                                                                                                    L'account viene convalidato e il messaggio "Registrazione completa" indica che il nodo è ora registrato nel cloud Webex.
                                                                                                                                                  8. Fare clic sul collegamento o chiudere la scheda per tornare alla pagina Sicurezza dei dati ibridi di Control Hub.

                                                                                                                                                  Il nodo è registrato. Tenere presente che fino all'avvio di una versione di prova, i nodi generano un allarme a indicare che il servizio non è ancora attivato.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Eseguire una versione di prova e passare alla produzione (capitolo successivo)
                                                                                                                                                  Eseguire una versione di prova e passare alla produzione

                                                                                                                                                  Flusso attività da prova a produzione

                                                                                                                                                  Dopo aver impostato un cluster di sicurezza dei dati ibridi, è possibile avviare un pilota, aggiungere utenti e iniziare a utilizzarlo per testare e verificare la distribuzione in preparazione del passaggio alla produzione.

                                                                                                                                                  1

                                                                                                                                                  Se applicabile, sincronizzare il HdsTrialGroup oggetto di gruppo.

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche per gli utenti, è necessario selezionare HdsTrialGroup raggruppa l'oggetto per la sincronizzazione al cloud prima di avviare una versione di prova. Per istruzioni, consultare la Guida alla distribuzione di Connettore directory Cisco.

                                                                                                                                                  2

                                                                                                                                                  Attiva versione di prova

                                                                                                                                                  Avviare una prova. Fino a quando non si esegue questa attività, i nodi generano un allarme che indica che il servizio non è ancora attivato.

                                                                                                                                                  3

                                                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Verificare che le richieste chiave passino alla distribuzione di Hybrid Data Security.

                                                                                                                                                  4

                                                                                                                                                  Monitoraggio della salute della sicurezza dei dati ibridi

                                                                                                                                                  Controllare lo stato e impostare notifiche e-mail per gli allarmi.

                                                                                                                                                  5

                                                                                                                                                  Aggiunta o rimozione di utenti dalla versione di prova

                                                                                                                                                  6

                                                                                                                                                  Completare la fase trial con una delle seguenti azioni:

                                                                                                                                                  Attiva versione di prova

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche per gli utenti, è necessario selezionare HdsTrialGroup raggruppa l'oggetto per la sincronizzazione al cloud prima di poter avviare una versione di prova per la propria organizzazione. Per istruzioni, consultare la Guida alla distribuzione di Connettore directory Cisco.

                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com, quindi selezionare Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Stato servizio, fare clic su Avvia versione di prova.

                                                                                                                                                  Lo stato del servizio cambia in modalità di prova.
                                                                                                                                                  4

                                                                                                                                                  Fai clic su Aggiungi utenti e inserisci l'indirizzo e-mail di uno o più utenti da pilotare utilizzando i nodi Hybrid Data Security per crittografare e indicizzare i servizi.

                                                                                                                                                  (Se la propria organizzazione utilizza la sincronizzazione delle rubriche, utilizzare Active Directory per gestire il gruppo di prova, HdsTrialGroup.)

                                                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare questa procedura per testare gli scenari di crittografia della sicurezza dei dati ibridi.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Impostare la distribuzione di sicurezza dei dati ibridi.

                                                                                                                                                  • Attivare la versione di prova e aggiungere diversi utenti di prova.

                                                                                                                                                  • Assicurarsi di avere accesso al registro di sistema per verificare che le richieste chiave vengano trasferite alla distribuzione di Hybrid Data Security.

                                                                                                                                                  1

                                                                                                                                                  Le chiavi per un determinato spazio sono impostate dal creatore dello spazio. Accedi all'app Webex come uno degli utenti pilota, quindi crea uno spazio e invita almeno un utente pilota e un utente non pilota.


                                                                                                                                                   

                                                                                                                                                  Se si disattiva la distribuzione di sicurezza dei dati ibridi, il contenuto negli spazi creati dagli utenti pilota non sarà più accessibile una volta sostituite le copie memorizzate nella cache del client delle chiavi di crittografia.

                                                                                                                                                  2

                                                                                                                                                  Invia messaggi al nuovo spazio.

                                                                                                                                                  3

                                                                                                                                                  Selezionare l'output syslog per verificare che le richieste chiave passino alla distribuzione di Hybrid Data Security.

                                                                                                                                                  1. Per verificare se un utente stabilisce prima un canale sicuro per il KMS, filtrare su kms.data.method=create e kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Si dovrebbe trovare una voce come quella che segue (identificativi più brevi per la leggibilità):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Per verificare la presenza di un utente che richiede una chiave esistente da KMS, filtrare su kms.data.method=retrieve e kms.data.type=KEY:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Per verificare la presenza di un utente che richiede la creazione di una nuova chiave KMS, filtrare su kms.data.method=create e kms.data.type=KEY_COLLECTION:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Per verificare la presenza di un utente che richiede la creazione di un nuovo oggetto risorse KMS (KRO) quando viene creato uno spazio o un'altra risorsa protetta, filtrare su kms.data.method=create e kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitoraggio della salute della sicurezza dei dati ibridi

                                                                                                                                                  Un indicatore di stato all'interno di Control Hub mostra se tutto funziona correttamente con la distribuzione di Hybrid Data Security. Per avvisi più proattivi, iscriviti per le notifiche e-mail. Verrai informato quando sono presenti allarmi con impatto sul servizio o aggiornamenti software.
                                                                                                                                                  1

                                                                                                                                                  In Control Hub, seleziona Servizi dal menu sul lato sinistro dello schermo.

                                                                                                                                                  2

                                                                                                                                                  Nella sezione Hybrid Services (Servizi ibridi), trovare Hybrid Data Security (Sicurezza dati ibridi) e fare clic su Settings (Impostazioni).

                                                                                                                                                  Viene visualizzata la pagina Impostazioni sicurezza dati ibridi.
                                                                                                                                                  3

                                                                                                                                                  Nella sezione Notifiche e-mail, digitare uno o più indirizzi e-mail separati da virgole e premere Invio.

                                                                                                                                                  Aggiunta o rimozione di utenti dalla versione di prova

                                                                                                                                                  Una volta attivata una versione di prova e aggiunto il set iniziale di utenti della versione di prova, è possibile aggiungere o rimuovere i membri della versione di prova in qualsiasi momento mentre la versione di prova è attiva.

                                                                                                                                                  Se si rimuove un utente dalla versione di prova, il client dell'utente richiederà le chiavi e la creazione delle chiavi dal KMS cloud anziché dal KMS. Se il client ha bisogno di una chiave memorizzata sul tuo KMS, il KMS cloud la recupererà per conto dell'utente.

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche, utilizzare Active Directory (anziché questa procedura) per gestire il gruppo di prova, HdsTrialGroup; puoi visualizzare i membri del gruppo in Control Hub ma non puoi aggiungerli o rimuoverli.

                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Modalità di prova dell'area Stato servizio, fare clic su Aggiungi utenti oppure fare clic su Visualizza e modifica per rimuovere gli utenti dalla versione di prova.

                                                                                                                                                  4

                                                                                                                                                  Inserire l'indirizzo e-mail di uno o più utenti da aggiungere o fare clic sulla X da parte di un ID utente per rimuovere l'utente dalla versione di prova. Quindi fare clic Salva .

                                                                                                                                                  Passa da versione di prova a produzione

                                                                                                                                                  Quando si è soddisfatti che la distribuzione funzioni correttamente per gli utenti di prova, è possibile passare alla produzione. Quando si passa alla produzione, tutti gli utenti nell'organizzazione utilizzeranno il dominio di sicurezza dei dati ibridi locale per le chiavi di crittografia e altri servizi di area di sicurezza. Non è possibile tornare alla modalità di prova dalla produzione a meno che non si disattivi il servizio come parte del ripristino di emergenza. La riattivazione del servizio richiede l'impostazione di una nuova prova.
                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Service Status (Stato servizio) fare clic su Move to Production (Passa a produzione).

                                                                                                                                                  4

                                                                                                                                                  Confermare che si desidera spostare tutti gli utenti in produzione.

                                                                                                                                                  Terminare la prova senza passare alla produzione

                                                                                                                                                  Se, durante la versione di prova, si decide di non procedere con la distribuzione di Hybrid Data Security, è possibile disattivare Hybrid Data Security, che termina la versione di prova e trasferisce gli utenti di prova ai servizi di sicurezza dei dati su cloud. Gli utenti dello studio perderanno l'accesso ai dati crittografati durante lo studio.
                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Disattiva fare clic su Disattiva.

                                                                                                                                                  4

                                                                                                                                                  Confermare che si desidera disattivare il servizio e terminare la prova.

                                                                                                                                                  Gestione della distribuzione HDS

                                                                                                                                                  Gestione della distribuzione HDS

                                                                                                                                                  Utilizzare le attività descritte qui per gestire la distribuzione di Hybrid Data Security.

                                                                                                                                                  Imposta pianificazione aggiornamento cluster

                                                                                                                                                  Gli aggiornamenti software per la sicurezza dei dati ibridi vengono eseguiti automaticamente a livello di cluster, per garantire che tutti i nodi utilizzino sempre la stessa versione del software. Gli aggiornamenti vengono eseguiti in base alla pianificazione di aggiornamento per il cluster. Quando un aggiornamento software diventa disponibile, è possibile eseguire manualmente l'aggiornamento del cluster prima dell'ora di aggiornamento pianificata. È possibile impostare una pianificazione di aggiornamento specifica o utilizzare la pianificazione predefinita delle 3:00 AM Daily Stati Uniti: America/Los Angeles. È anche possibile scegliere di posticipare un aggiornamento futuro, se necessario.

                                                                                                                                                  Per impostare la pianificazione di aggiornamento:

                                                                                                                                                  1

                                                                                                                                                  Accedere a Control Hub.

                                                                                                                                                  2

                                                                                                                                                  Nella pagina Panoramica, in Servizi ibridi, selezionare Sicurezza dati ibridi.

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Risorse sicurezza dati ibridi, selezionare il cluster.

                                                                                                                                                  4

                                                                                                                                                  Nel pannello Panoramica a destra, in Impostazioni cluster, selezionare il nome del cluster.

                                                                                                                                                  5

                                                                                                                                                  Nella pagina Impostazioni, in Aggiorna, selezionare l'ora e il fuso orario per la pianificazione dell'aggiornamento.

                                                                                                                                                  Nota: Sotto il fuso orario, viene visualizzata la successiva data e ora di aggiornamento disponibili. È possibile posticipare l'aggiornamento al giorno successivo, se necessario, facendo clic su Posponi.

                                                                                                                                                  Modifica della configurazione del nodo

                                                                                                                                                  Occasionalmente potrebbe essere necessario modificare la configurazione del nodo Sicurezza dati ibridi per motivi quali:
                                                                                                                                                  • Modifica dei certificati x.509 a causa di una scadenza o altri motivi.


                                                                                                                                                     

                                                                                                                                                    Non è supportata la modifica del nome dominio CN di un certificato. Il dominio deve corrispondere al dominio originale utilizzato per registrare il cluster.

                                                                                                                                                  • Aggiornamento delle impostazioni del database da modificare in una replica del database PostgreSQL o Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Non è supportata la migrazione dei dati da PostgreSQL a Microsoft SQL Server o viceversa. Per cambiare l'ambiente di database, avviare una nuova distribuzione di Sicurezza dei dati ibridi.

                                                                                                                                                  • Creazione di una nuova configurazione per preparare un nuovo centro dati.

                                                                                                                                                  Per motivi di sicurezza, la sicurezza dei dati ibridi utilizza password di account di servizio della durata di 9 mesi. Lo strumento di impostazione HDS genera queste password e occorre distribuirle a ciascuno dei nodi HDS come parte del file ISO di configurazione. Se le password della propria organizzazione sono prossime alla scadenza, si riceverà un avviso di scadenza password dal team Webex, in cui verrà richiesto di reimpostare la password per l'account macchina. (Il messaggio e-mail include il testo "Utilizzare l' API dell'account macchina per aggiornare la password".) Se le password non sono ancora scadute, lo strumento offre due opzioni:

                                                                                                                                                  • Ripristino graduale —La password vecchia e nuova funzionano entrambe per 10 giorni. Utilizzare questo punto per sostituire gradualmente il file ISO sui nodi.

                                                                                                                                                  • Ripristino hardware —Le password precedenti smettono immediatamente di funzionare.

                                                                                                                                                  Se le password scadono senza una reimpostazione, ciò ha un impatto sul servizio HDS, che richiede un ripristino hardware immediato e la sostituzione del file ISO su tutti i nodi.

                                                                                                                                                  Utilizzare questa procedura per generare un nuovo file ISO di configurazione e applicarlo al cluster.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Lo strumento di impostazione HDS viene eseguito come contenitore Docker su una macchina locale. Per accedervi, eseguire Docker su tale macchina. Il processo di impostazione richiede le credenziali di un account Control Hub con diritti di amministratore completi per l'organizzazione.

                                                                                                                                                    Se lo strumento di impostazione HDS viene eseguito dietro un proxy nel proprio ambiente, fornire le impostazioni del proxy (server, porta, credenziali) attraverso le variabili di ambiente Docker quando si solleva il contenitore Docker in 1.e. Questa tabella fornisce alcune possibili variabili di ambiente:

                                                                                                                                                    Descrizione

                                                                                                                                                    Variabile

                                                                                                                                                    proxy HTTP senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    proxy HTTP con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • È necessaria una copia del file ISO di configurazione corrente per generare una nuova configurazione. L'ISO contiene la chiave principale che crittografa il database PostgreSQL o Microsoft SQL Server. È necessario ISO quando si apportano modifiche alla configurazione, incluse credenziali del database, aggiornamenti dei certificati o modifiche ai criteri di autorizzazione.

                                                                                                                                                  1

                                                                                                                                                  Utilizzando il Docker su una macchina locale, eseguire lo strumento di impostazione HDS.

                                                                                                                                                  1. Nella riga di comando della macchina, immettere il comando appropriato per l'ambiente:

                                                                                                                                                    In ambienti normali:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    In ambienti FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Questo passaggio ripulisce le immagini precedenti dello strumento di impostazione HDS. Se non sono presenti immagini precedenti, viene restituito un errore che può essere ignorato.

                                                                                                                                                  2. Per accedere al registro immagini Docker, immettere quanto segue:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. Alla richiesta della password, immettere questo hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Scaricare l'immagine stabile più recente per il proprio ambiente:

                                                                                                                                                    In ambienti normali:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    In ambienti FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Accertarsi di eseguire il pull dello strumento di impostazione più recente per questa procedura. Le versioni dello strumento create prima del 22 febbraio 2018 non dispongono di schermate di reimpostazione della password.

                                                                                                                                                  5. Al termine del pull, immettere il comando appropriato per l'ambiente:

                                                                                                                                                    • In ambienti normali senza proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti normali con un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti normali con un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti FedRAMP senza proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • In ambienti FedRAMP con un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • In ambienti FedRAMP con un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Quando il contenitore è in esecuzione, viene visualizzato il messaggio "server Express in attesa sulla porta 8080".

                                                                                                                                                  6. Utilizzare un browser per connettersi a localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Lo strumento Imposta non supporta la connessione a localhost tramite http://localhost:8080. Usa http://127.0.0.1:8080 per connetterti a localhost.

                                                                                                                                                  7. Quando richiesto, immettere le credenziali di accesso del cliente , quindi fare clic su Accetta per continuare.

                                                                                                                                                  8. Importare il file ISO di configurazione corrente.

                                                                                                                                                  9. Seguire le indicazioni per completare lo strumento e scaricare il file aggiornato.

                                                                                                                                                    Per chiudere lo strumento di installazione, digitare CTRL+C.

                                                                                                                                                  10. Creare una copia di backup del file aggiornato in un altro centro dati.

                                                                                                                                                  2

                                                                                                                                                  Se si dispone di un solo nodo HDS in esecuzione, creare un nuovo nodo VM e registrarlo utilizzando il nuovo file ISO di configurazione. Per istruzioni più dettagliate, vedere Creazione e registrazione di più nodi.

                                                                                                                                                  1. Installare il file OVA dell'host HDS.

                                                                                                                                                  2. Impostare la macchina virtuale HDS.

                                                                                                                                                  3. Montare il file di configurazione aggiornato.

                                                                                                                                                  4. Registrare il nuovo nodo in Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Per i nodi HDS esistenti che eseguono il file di configurazione precedente , montare il file ISO . Completare la procedura seguente su ciascun nodo alla volta, aggiornando ciascun nodo prima di spegnere il nodo successivo:

                                                                                                                                                  1. Disattivare la macchina virtuale.

                                                                                                                                                  2. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul pulsante destro del mouse sulla macchina virtuale, quindi fare clic su Modifica impostazioni.

                                                                                                                                                  3. Fare clic CD/DVD Drive 1 Fare clic su Unità CD/DVD 1, selezionare l'opzione per il montaggio di un file ISO e selezionare la posizione in cui è stato scaricato il nuovo file di configurazione ISO.

                                                                                                                                                  4. Selezionare Connetti all'accensione.

                                                                                                                                                  5. Salvare le modifiche e accendere la macchina virtuale.

                                                                                                                                                  4

                                                                                                                                                  Ripetere il punto 3 per sostituire la configurazione su ciascun nodo restante in cui sia in esecuzione la configurazione precedente.

                                                                                                                                                  Disattivazione della modalità di risoluzione DNS esterna bloccata

                                                                                                                                                  Quando si registra un nodo o si controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud Cisco Webex. Se il server DNS del nodo non riesce a risolvere i nomi DNS pubblici, il nodo passa automaticamente in modalità di risoluzione DNS esterna bloccata.

                                                                                                                                                  Se i nodi sono in grado di risolvere i nomi DNS pubblici tramite server DNS interni, è possibile disattivare questa modalità eseguendo nuovamente il test di connessione proxy su ciascun nodo.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Assicurarsi che i server DNS interni possano risolvere i nomi DNS pubblici e che i nodi possano comunicare con essi.
                                                                                                                                                  1

                                                                                                                                                  In un browser Web, aprire l'interfaccia del nodo di sicurezza dei dati ibridi (indirizzo IP/impostazione, ad esempio, https://192.0.2.0/setup), immettere le credenziali di amministrazione impostate per il nodo, quindi fare clic su Accedi.

                                                                                                                                                  2

                                                                                                                                                  Andare a Overview (pagina predefinita).

                                                                                                                                                  Quando abilitata, Risoluzione DNS esterno bloccato è impostato su .

                                                                                                                                                  3

                                                                                                                                                  Andare alla pagina Archivio attendibilità e proxy.

                                                                                                                                                  4

                                                                                                                                                  Fare clic su Verifica connessione proxy.

                                                                                                                                                  Se viene visualizzato un messaggio che indica che la risoluzione DNS esterna non è riuscita, il nodo non è stato in grado di raggiungere il server DNS e rimarrà in questa modalità. Altrimenti, dopo aver riavviato il nodo e tornare alla pagina Panoramica, la risoluzione DNS esterna bloccata deve essere impostata su No.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Ripetere il test di connessione proxy su ciascun nodo nel cluster di sicurezza dei dati ibridi.

                                                                                                                                                  Rimozione di un nodo

                                                                                                                                                  Utilizzare questa procedura per rimuovere un nodo di sicurezza dei dati ibridi dal cloud Webex. Dopo aver rimosso il nodo dal cluster, eliminare la macchina virtuale per impedire un ulteriore accesso ai dati di sicurezza.
                                                                                                                                                  1

                                                                                                                                                  Utilizzare il client VMware vSphere sul computer per accedere all'host virtuale ESXi e spegnere la macchina virtuale.

                                                                                                                                                  2

                                                                                                                                                  Rimuovi il nodo:

                                                                                                                                                  1. Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2. Nella scheda Sicurezza dati ibridi, fare clic su Visualizza tutto per visualizzare la pagina Risorse sicurezza dati ibridi.

                                                                                                                                                  3. Selezionare il cluster per visualizzarne il pannello Panoramica.

                                                                                                                                                  4. Fare clic su Apri elenco nodi.

                                                                                                                                                  5. Nella scheda Nodi, selezionare il nodo che si desidera rimuovere.

                                                                                                                                                  6. Fare clic su Azioni > Annulla registrazione nodo.

                                                                                                                                                  3

                                                                                                                                                  Nel client vSphere, eliminare la VM (nel riquadro di navigazione a sinistra, fare clic con il pulsante destro del mouse sulla VM e fare clic su Elimina).

                                                                                                                                                  Se non si elimina la VM, ricordarsi di smontare il file ISO di configurazione. Senza il file ISO, non è possibile utilizzare la VM per accedere ai dati di sicurezza.

                                                                                                                                                  Ripristino di emergenza tramite centro dati standby

                                                                                                                                                  Il servizio più critico fornito dal cluster di sicurezza dei dati ibridi è la creazione e la memorizzazione di chiavi utilizzate per crittografare i messaggi e altri contenuti memorizzati nel cloud Webex. Per ogni utente all'interno dell'organizzazione assegnato alla sicurezza dei dati ibridi, le nuove richieste di creazione di chiavi vengono indirizzate al cluster. Il cluster è anche responsabile di restituire le chiavi create agli utenti autorizzati a recuperarle, ad esempio, i membri di uno spazio di conversazione.

                                                                                                                                                  Poiché il cluster svolge la funzione critica di fornire queste chiavi, è imperativo che il cluster rimanga in esecuzione e che vengano mantenuti i backup appropriati. La perdita del database di sicurezza dei dati ibridi o della configurazione ISO utilizzata per lo schema comporterà una PERDITA IRRECUPERABILE del contenuto del cliente. Per evitare tale perdita sono obbligatorie le seguenti pratiche:

                                                                                                                                                  Se una catastrofe causa l'indisponibilità della distribuzione HDS nel centro dati principale, seguire questa procedura per il failover manuale al centro dati standby.

                                                                                                                                                  1

                                                                                                                                                  Avviare lo strumento di impostazione HDS e seguire la procedura indicata in Crea una configurazione ISO per gli host HDS.

                                                                                                                                                  2

                                                                                                                                                  Dopo aver configurato il server Syslogd, fare clic su Impostazioni avanzate

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Impostazioni avanzate, aggiungere la configurazione seguente o rimuovere il passiveMode configurazione per rendere attivo il nodo. Il nodo può gestire il traffico una volta configurato.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completa il processo di configurazione e salva il file ISO in una posizione facile da trovare.

                                                                                                                                                  5

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale. Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  6

                                                                                                                                                  Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic con il pulsante destro del mouse sulla VM e fare clic su Modifica impostazioni.

                                                                                                                                                  7

                                                                                                                                                  Fare clic su Modifica impostazioni >Unità CD/DVD 1 e selezionare Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Accertarsi che Connected e Connect all'accensione siano controllati in modo che le modifiche di configurazione aggiornate possano avere effetto dopo l'avvio dei nodi.

                                                                                                                                                  8

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 15 minuti.

                                                                                                                                                  9

                                                                                                                                                  Ripetere la procedura per ogni nodo nel centro dati standby.


                                                                                                                                                   

                                                                                                                                                  Controllare l'output syslog per verificare che i nodi del centro dati standby non siano in modalità passiva. “KMS configurato in modalità passiva” non deve apparire nei syslogs.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Dopo il failover, se il centro dati principale diventa nuovamente attivo, posizionare nuovamente il centro dati standby in modalità passiva seguendo la procedura descritta in Imposta centro dati standby per ripristino di emergenza.

                                                                                                                                                  (Opzionale) Smontaggio ISO dopo configurazione HDS

                                                                                                                                                  La configurazione HDS standard viene eseguita con l'ISO montato. Tuttavia, alcuni clienti preferiscono non lasciare i file ISO montati continuamente. È possibile smontare il file ISO dopo che tutti i nodi HDS hanno rilevato la nuova configurazione.

                                                                                                                                                  Si utilizzano ancora i file ISO per apportare modifiche alla configurazione. Quando si crea un nuovo ISO o si aggiorna un ISO tramite lo strumento di impostazione, è necessario montare l'ISO aggiornato su tutti i nodi HDS. Una volta che tutti i nodi hanno rilevato le modifiche alla configurazione, è possibile smontare nuovamente l'ISO con questa procedura.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Eseguire l'aggiornamento di tutti i nodi HDS alla versione 2021.01.22.4720 o successiva.

                                                                                                                                                  1

                                                                                                                                                  Chiudere uno dei nodi HDS.

                                                                                                                                                  2

                                                                                                                                                  Nella vCenter Server Appliance, selezionare il nodo HDS.

                                                                                                                                                  3

                                                                                                                                                  Scegli Modifica impostazioni > unità CD/DVD e deseleziona Datastore ISO File.

                                                                                                                                                  4

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 20 minuti.

                                                                                                                                                  5

                                                                                                                                                  Ripetere per ciascun nodo HDS a sua volta.

                                                                                                                                                  Risoluzione dei problemi di sicurezza dei dati ibridi

                                                                                                                                                  Visualizzazione di avvisi e risoluzione dei problemi

                                                                                                                                                  Una distribuzione di sicurezza dei dati ibridi viene considerata non disponibile se tutti i nodi nel cluster sono irraggiungibili o se il cluster funziona così lentamente da richiedere un timeout. Se gli utenti non riescono a raggiungere il cluster di sicurezza dei dati ibridi, avvertono i seguenti sintomi:

                                                                                                                                                  • Impossibile creare nuovi spazi (impossibile creare nuove chiavi)

                                                                                                                                                  • I titoli dei messaggi e dello spazio non vengono decrittografati per:

                                                                                                                                                    • Nuovi utenti aggiunti a uno spazio (impossibile recuperare i tasti)

                                                                                                                                                    • Utenti esistenti in uno spazio che utilizzano un nuovo client (impossibile recuperare le chiavi)

                                                                                                                                                  • Gli utenti esistenti in uno spazio continueranno a funzionare correttamente fino a quando i relativi client dispongono di una cache delle chiavi di crittografia

                                                                                                                                                  È importante monitorare correttamente il cluster di sicurezza dei dati ibridi e indirizzare tempestivamente eventuali avvisi per evitare l'interruzione del servizio.

                                                                                                                                                  Avvisi

                                                                                                                                                  Se si verifica un problema con l'impostazione della sicurezza dei dati ibridi, Control Hub visualizza gli avvisi all'amministratore dell'organizzazione e invia messaggi e-mail all'indirizzo e-mail configurato. Gli avvisi coprono molti scenari comuni.

                                                                                                                                                  Tabella 1. Problemi comuni e le fasi per risolverli

                                                                                                                                                  Avviso

                                                                                                                                                  Azione

                                                                                                                                                  Errore di accesso al database locale.

                                                                                                                                                  Verificare la presenza di errori nel database o problemi di rete locale.

                                                                                                                                                  Errore di connessione al database locale.

                                                                                                                                                  Verificare che il server del database sia disponibile e che le credenziali dell'account di servizio corretto siano state utilizzate nella configurazione del nodo.

                                                                                                                                                  Errore di accesso al servizio cloud.

                                                                                                                                                  Verificare che i nodi possano accedere ai server Webex come specificato nei requisiti di connettività esterna.

                                                                                                                                                  Rinnovo della registrazione del servizio cloud.

                                                                                                                                                  La registrazione ai servizi cloud è stata interrotta. Rinnovo registrazione in corso.

                                                                                                                                                  Registrazione servizio cloud interrotta.

                                                                                                                                                  La registrazione ai servizi cloud è terminata. Il servizio è in fase di arresto.

                                                                                                                                                  Servizio non ancora attivato.

                                                                                                                                                  Attivare una versione di prova o terminare lo spostamento della versione di prova in produzione.

                                                                                                                                                  Il dominio configurato non corrisponde al certificato del server.

                                                                                                                                                  Assicurarsi che il certificato del server corrisponda al dominio di attivazione del servizio configurato.

                                                                                                                                                  La causa più probabile è che il certificato CN è stato modificato di recente ed è ora diverso dal certificato CN utilizzato durante la configurazione iniziale.

                                                                                                                                                  Impossibile eseguire l'autenticazione ai servizi cloud.

                                                                                                                                                  Verificare l'accuratezza e la possibile scadenza delle credenziali dell'account servizio.

                                                                                                                                                  Impossibile aprire il file del keystore locale.

                                                                                                                                                  Verificare l'integrità e l'accuratezza della password nel file del keystore locale.

                                                                                                                                                  Certificato del server locale non valido.

                                                                                                                                                  Controllare la data di scadenza del certificato del server e verificare che sia stato rilasciato da un'autorità di certificazione attendibile.

                                                                                                                                                  Impossibile pubblicare le metriche.

                                                                                                                                                  Controllare l'accesso alla rete locale ai servizi cloud esterni.

                                                                                                                                                  La directory /media/configdrive/hds non esiste.

                                                                                                                                                  Controllare la configurazione del montaggio ISO sull'host virtuale. Verificare che il file ISO esista, che sia configurato per il montaggio sul riavvio e che venga montato correttamente.

                                                                                                                                                  Risoluzione dei problemi di sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare le seguenti linee guida generali per la risoluzione dei problemi relativi alla sicurezza dei dati ibridi.
                                                                                                                                                  1

                                                                                                                                                  Esamina Control Hub per eventuali avvisi e correggi eventuali elementi che trovi.

                                                                                                                                                  2

                                                                                                                                                  Rivedere l'output del server syslog per l'attività dalla distribuzione di Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Contatta il supporto Cisco.

                                                                                                                                                  Altre note

                                                                                                                                                  Problemi noti per la sicurezza dei dati ibridi

                                                                                                                                                  • Se si arresta il cluster di sicurezza dei dati ibridi (eliminandolo in Control Hub o chiudendo tutti i nodi), si perde il file ISO di configurazione o si perde l'accesso al database del keystore, gli utenti dell'app Webex non possono più utilizzare gli spazi sotto il relativo elenco di persone creati con i tasti del KMS. Ciò si applica sia alle distribuzioni di prova che di produzione. Attualmente non abbiamo una soluzione o una soluzione per questo problema e ti invitiamo a non chiudere i tuoi servizi HDS una volta che stanno gestendo account utente attivi.

                                                                                                                                                  • Un client che dispone di una connessione ECDH esistente a un KMS mantiene tale connessione per un periodo di tempo (probabilmente un'ora). Quando un utente diventa membro di una versione di prova di sicurezza dei dati ibridi, il client dell'utente continua a utilizzare la connessione ECDH esistente fino a quando non si spegne. In alternativa, l'utente può disconnettersi e accedere nuovamente all'app Webex per aggiornare la posizione che l'app contatta per le chiavi di crittografia.

                                                                                                                                                    Lo stesso comportamento si verifica quando si sposta una versione di prova in produzione per l'organizzazione. Tutti gli utenti senza prova con connessioni ECDH esistenti ai precedenti servizi di sicurezza dei dati continueranno a utilizzare tali servizi fino alla rinegoziazione della connessione ECDH (attraverso timeout o attraverso la disconnessione e il back-in).

                                                                                                                                                  Uso di OpenSSL per generare un file PKCS12

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • OpenSSL è uno strumento che può essere utilizzato per rendere il file PKCS12 nel formato appropriato per il caricamento nello strumento di impostazione HDS. Ci sono altri modi per farlo, e non sosteniamo né promuoviamo una strada rispetto all'altra.

                                                                                                                                                  • Se si sceglie di utilizzare OpenSSL, la presente procedura fornisce le linee guida per la creazione di un file che soddisfi i requisiti di certificato X.509 in Requisiti di certificato X.509. Capire questi requisiti prima di continuare.

                                                                                                                                                  • Installare OpenSSL in un ambiente supportato. Vedere https://www.openssl.org per il software e la documentazione.

                                                                                                                                                  • Creare una chiave privata.

                                                                                                                                                  • Avviare questa procedura quando si riceve il certificato del server dall'autorità di certificazione (CA).

                                                                                                                                                  1

                                                                                                                                                  Quando si riceve il certificato del server dall'autorità di certificazione, salvarlo come hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Visualizzare il certificato come testo e verificare i dettagli.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Utilizzare un editor di testo per creare un file di bundle di certificati denominato hdsnode-bundle.pem. Il file bundle deve includere il certificato del server, eventuali certificati CA intermedi e i certificati CA radice, nel formato seguente:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Creare il file .p12 con il nome amichevole kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Controllare i dettagli del certificato del server.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Immettere una password quando viene richiesto di crittografare la chiave privata in modo che sia elencata nell'output. Quindi, verificare che la chiave privata e il primo certificato includano le linee friendlyName: kms-private-key.

                                                                                                                                                    Esempio:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Tornare a Completare i prerequisiti per la sicurezza dei dati ibridi. Si utilizzerà il hdsnode.p12 file e la password impostata, in Crea una configurazione ISO per gli host HDS.


                                                                                                                                                   

                                                                                                                                                  È possibile riutilizzare questi file per richiedere un nuovo certificato alla scadenza del certificato originale.

                                                                                                                                                  Traffico tra i nodi HDS e il cloud

                                                                                                                                                  Traffico incasso metriche in uscita

                                                                                                                                                  I nodi di sicurezza dei dati ibridi inviano determinate metriche al cloud Webex. Queste includono metriche di sistema per heap max, heap utilizzato, caricamento CPU e conteggio thread; metriche su thread sincroni e asincroni; metriche su avvisi che comportano una soglia di connessioni di crittografia, latenza o lunghezza della coda di richiesta; metriche sul datastore e metriche di connessione di crittografia. I nodi inviano materiale chiave crittografato su un canale fuori banda (separato dalla richiesta).

                                                                                                                                                  Traffico in entrata

                                                                                                                                                  I nodi di sicurezza dei dati ibridi ricevono i seguenti tipi di traffico in entrata dal cloud Webex:

                                                                                                                                                  • Richieste di crittografia da client, indirizzate dal servizio di crittografia

                                                                                                                                                  • Aggiornamenti al software del nodo

                                                                                                                                                  Configurazione dei proxy Squid per la sicurezza dei dati ibridi

                                                                                                                                                  Websocket non può connettersi tramite proxy Squid

                                                                                                                                                  I proxy di calamari che ispezionano il traffico HTTPS possono interferire con la creazione di websocket ( wss:) connessioni richieste per la sicurezza dei dati ibridi. Queste sezioni forniscono indicazioni su come configurare diverse versioni di Squid da ignorare wss: traffico per il corretto funzionamento dei servizi.

                                                                                                                                                  Calamaro 4 e 5

                                                                                                                                                  Aggiungi il on_unsupported_protocol direttiva a squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Calamaro 3.5.27

                                                                                                                                                  Abbiamo testato con successo la sicurezza dei dati ibridi con le seguenti regole aggiunte a squid.conf. Queste regole sono soggette a modifiche durante lo sviluppo delle funzioni e l'aggiornamento del cloud Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Prefazione

                                                                                                                                                  Informazioni nuove e modificate

                                                                                                                                                  Data

                                                                                                                                                  Modifiche apportate

                                                                                                                                                  20 ottobre 2023

                                                                                                                                                  7 agosto 2023

                                                                                                                                                  23 maggio 2023

                                                                                                                                                  6 dicembre 2022

                                                                                                                                                  23 novembre 2022

                                                                                                                                                  13 ottobre 2021

                                                                                                                                                  Docker Desktop deve eseguire un programma di impostazione prima di installare i nodi HDS. Vedere Requisiti desktop docker.

                                                                                                                                                  24 giugno 2021

                                                                                                                                                  Tenere presente che è possibile riutilizzare il file della chiave privata e il CSR per richiedere un altro certificato. Per informazioni dettagliate, vedere Uso di OpenSSL per generare un file PKCS12.

                                                                                                                                                  30 aprile 2021

                                                                                                                                                  Modificato il requisito della VM per lo spazio su disco rigido locale in 30 GB. Per informazioni dettagliate, vedere Requisiti organizzatore virtuale.

                                                                                                                                                  24 febbraio 2021

                                                                                                                                                  Lo strumento di impostazione HDS ora può essere eseguito dietro un proxy. Per informazioni dettagliate, vedere Creazione di una configurazione ISO per gli host HDS.

                                                                                                                                                  2 febbraio 2021

                                                                                                                                                  HDS ora può funzionare senza un file ISO montato. Per ulteriori informazioni, vedere (Opzionale) Smontaggio dell'ISO dopo la configurazione HDS.

                                                                                                                                                  11 gennaio 2021

                                                                                                                                                  Aggiunte informazioni sullo strumento di impostazione HDS e sui proxy per creare una configurazione ISO per gli host HDS.

                                                                                                                                                  13 ottobre 2020

                                                                                                                                                  Aggiornato Scarica file di installazione.

                                                                                                                                                  8 ottobre 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS e Modifica della configurazione del nodo con i comandi per gli ambienti FedRAMP.

                                                                                                                                                  14 agosto 2020

                                                                                                                                                  Aggiornata Creazione di un ISO di configurazione per gli host HDS e Modifica della configurazione del nodo con modifiche al processo di accesso.

                                                                                                                                                  5 agosto 2020

                                                                                                                                                  Aggiornata la verifica della distribuzione della sicurezza dei dati ibridi per le modifiche nei messaggi del registro.

                                                                                                                                                  Aggiornati i requisiti dell'organizzatore virtuale per rimuovere il numero massimo di organizzatori.

                                                                                                                                                  16 giugno 2020

                                                                                                                                                  Aggiornata la rimozione di un nodo per le modifiche nell'interfaccia utente di Control Hub.

                                                                                                                                                  4 giugno 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS per le modifiche alle impostazioni avanzate che è possibile impostare.

                                                                                                                                                  29 maggio 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS per mostrare che è possibile utilizzare anche TLS con database SQL Server, modifiche dell'interfaccia utente e altri chiarimenti.

                                                                                                                                                  5 maggio 2020

                                                                                                                                                  Aggiornati i requisiti dell'organizzatore virtuale per mostrare il nuovo requisito di ESXi 6.5.

                                                                                                                                                  21 aprile 2020

                                                                                                                                                  Aggiornati i requisiti di connettività esterna con i nuovi host CI Americas.

                                                                                                                                                  1° aprile 2020

                                                                                                                                                  Aggiornati i requisiti di connettività esterna con informazioni sugli host CI regionali.

                                                                                                                                                  20 febbraio 2020Aggiornata Creazione di una configurazione ISO per gli host HDS con informazioni sulla nuova schermata opzionale Impostazioni avanzate nello strumento Impostazione HDS.
                                                                                                                                                  4 febbraio 2020Aggiornati i requisiti del server proxy.
                                                                                                                                                  16 dicembre 2019Chiarito il requisito per il funzionamento della modalità di risoluzione DNS esterna bloccata in Requisiti server proxy.
                                                                                                                                                  19 novembre 2019

                                                                                                                                                  Aggiunte informazioni sulla modalità di risoluzione DNS esterna bloccata nelle seguenti sezioni:

                                                                                                                                                  8 novembre 2019

                                                                                                                                                  Ora è possibile configurare le impostazioni di rete per un nodo durante la distribuzione del file OVA anziché successivamente.

                                                                                                                                                  Aggiornate di conseguenza le seguenti sezioni:


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  6 settembre 2019

                                                                                                                                                  Aggiunto SQL Server Standard ai requisiti del server database.

                                                                                                                                                  È il 29 agosto 2019Aggiunta l'appendice Configura proxy Squid per la sicurezza dei dati ibridi con indicazioni sulla configurazione dei proxy Squid per ignorare il traffico websocket per un funzionamento corretto.
                                                                                                                                                  20 agosto 2019

                                                                                                                                                  Aggiunte e aggiornate sezioni per coprire il supporto proxy per le comunicazioni dei nodi di sicurezza dei dati ibridi al cloud Webex.

                                                                                                                                                  Per accedere solo al contenuto del supporto proxy per una distribuzione esistente, vedere l'articolo della Guida sul supporto proxy per la sicurezza dei dati ibridi e il mesh video Webex.

                                                                                                                                                  13 giugno 2019Aggiornato Flusso attività di prova su produzione con un promemoria per sincronizzare la HdsTrialGroup raggruppa l'oggetto prima di avviare una versione di prova se la tua organizzazione utilizza la sincronizzazione delle rubriche.
                                                                                                                                                  6 marzo 2019
                                                                                                                                                  28 febbraio 2019
                                                                                                                                                  • È stata corretta la quantità di spazio su disco rigido locale per server da impostare quando si preparano gli host virtuali che diventano nodi di sicurezza dei dati ibridi, da 50 GB a 20 GB, in modo da riflettere la dimensione del disco creato dal file OVA.

                                                                                                                                                  26 febbraio 2019
                                                                                                                                                  • I nodi Hybrid Data Security ora supportano connessioni crittografate con server di database PostgreSQL e connessioni di registrazione crittografate a un server syslog con funzionalità TLS. Aggiornata la creazione di un ISO di configurazione per gli host HDS con le istruzioni.

                                                                                                                                                  • URL di destinazione rimossi dalla tabella "Requisiti di connettività Internet per le VM dei nodi di sicurezza dei dati ibridi". La tabella ora si riferisce all'elenco mantenuto nella tabella "URL aggiuntivi per i servizi ibridi dei team Webex" dei Requisiti di rete per i servizi dei team Webex.

                                                                                                                                                  24 gennaio 2019

                                                                                                                                                  • Hybrid Data Security ora supporta Microsoft SQL Server come database. SQL Server Always On (cluster di failover sempre attivi e gruppi di disponibilità sempre attivi) è supportato dai driver JDBC utilizzati in Hybrid Data Security. Aggiunto contenuto relativo alla distribuzione con SQL Server.


                                                                                                                                                     

                                                                                                                                                    Il supporto di Microsoft SQL Server è destinato alle nuove distribuzioni di Hybrid Data Security. Attualmente non è supportata la migrazione dei dati da PostgreSQL a Microsoft SQL Server in una distribuzione esistente.

                                                                                                                                                  5 novembre 2018
                                                                                                                                                  giovedì 19 ottobre 2018

                                                                                                                                                  31 luglio 2018

                                                                                                                                                  21 maggio 2018

                                                                                                                                                  Terminologia modificata per riflettere il rebranding di Cisco Spark:

                                                                                                                                                  • La sicurezza dei dati ibridi Cisco Spark è ora Sicurezza dei dati ibridi.

                                                                                                                                                  • L'app Cisco Spark ora è l'app Webex.

                                                                                                                                                  • Cisco Collaboraton Cloud è ora il cloud Webex.

                                                                                                                                                  11 aprile 2018
                                                                                                                                                  22 febbraio 2018
                                                                                                                                                  15 febbraio 2018
                                                                                                                                                  • Nella tabella dei requisiti di certificato X.509, è specificato che il certificato non può essere un certificato con caratteri jolly e che KMS utilizza il dominio CN, non qualsiasi dominio definito nei campi x.509v3 SAN.

                                                                                                                                                  18 gennaio 2018

                                                                                                                                                  2 novembre 2017

                                                                                                                                                  • Chiarificazione della sincronizzazione delle rubriche di HdsTrialGroup.

                                                                                                                                                  • Istruzioni fisse per il caricamento del file di configurazione ISO per il montaggio sui nodi VM.

                                                                                                                                                  18 agosto 2017

                                                                                                                                                  Prima pubblicazione

                                                                                                                                                  Introduzione alla sicurezza dei dati ibridi

                                                                                                                                                  Panoramica sulla sicurezza dei dati ibridi

                                                                                                                                                  Fin dal primo giorno, la sicurezza dei dati è stata l'obiettivo principale nella progettazione dell'app Webex. La pietra angolare di questa sicurezza è la crittografia del contenuto end-to-end, abilitata dai client dell'app Webex che interagiscono con il servizio di gestione delle chiavi (KMS). Il KMS è responsabile della creazione e della gestione delle chiavi di crittografia utilizzate dai client per crittografare e decrittografare in modo dinamico messaggi e file.

                                                                                                                                                  Per impostazione predefinita, tutti i clienti dell'app Webex ottengono la crittografia end-to-end con chiavi dinamiche memorizzate nel KMS su cloud, nell'area di sicurezza di Cisco. La sicurezza dei dati ibridi sposta il KMS e altre funzioni correlate alla sicurezza nel centro dati aziendali , in modo che nessuno tranne l'utente possieda le chiavi del contenuto crittografato.

                                                                                                                                                  Architettura dell'area di sicurezza

                                                                                                                                                  L'architettura cloud Webex separa diversi tipi di servizio in regni separati o domini attendibili, come illustrato di seguito.

                                                                                                                                                  Campi di separazione (senza sicurezza dei dati ibridi)

                                                                                                                                                  Per comprendere meglio la sicurezza dei dati ibridi, diamo un'occhiata a questo caso cloud puro, in cui Cisco fornisce tutte le funzioni nelle sue aree cloud. Il servizio di identità, l'unico luogo in cui gli utenti possono essere direttamente correlati con le loro informazioni personali come l'indirizzo e-mail, è logicamente e fisicamente separato dall'area di sicurezza nel centro dati B. Entrambi sono a loro volta separati dall'area di archiviazione del contenuto crittografato, nel centro dati C.

                                                                                                                                                  In questo diagramma, il client è l'app Webex in esecuzione sul laptop di un utente ed è stato autenticato con il servizio di identità. Quando l'utente compone un messaggio da inviare a uno spazio, vengono eseguite le seguenti operazioni:

                                                                                                                                                  1. Il client stabilisce una connessione sicura con il servizio di gestione delle chiavi (KMS), quindi richiede una chiave per crittografare il messaggio. La connessione protetta utilizza ECDH e KMS crittografa la chiave utilizzando una chiave master AES-256.

                                                                                                                                                  2. Il messaggio viene crittografato prima di lasciare il client. Il cliente lo invia al servizio di indicizzazione che crea indici di ricerca criptati per facilitare la ricerca futura dei contenuti.

                                                                                                                                                  3. Il messaggio crittografato viene inviato al servizio di compliance per i controlli di conformità.

                                                                                                                                                  4. Il messaggio crittografato viene memorizzato nell'area di storage.

                                                                                                                                                  Quando si distribuisce la sicurezza dei dati ibridi, si spostano le funzioni dell'area di sicurezza (KMS, indicizzazione e conformità) nel centro dati locale. Gli altri servizi cloud che costituiscono Webex (tra cui identità e storage di contenuto) rimangono nei regni di Cisco.

                                                                                                                                                  Collaborazione con altre organizzazioni

                                                                                                                                                  Gli utenti nella tua organizzazione possono utilizzare regolarmente l'app Webex per collaborare con partecipanti esterni in altre organizzazioni. Quando uno dei tuoi utenti richiede una chiave per uno spazio di proprietà della tua organizzazione (perché è stata creata da uno dei tuoi utenti), il tuo KMS invia la chiave al client su un canale protetto ECDH. Tuttavia, quando un'altra organizzazione possiede la chiave per lo spazio, KMS indirizza la richiesta al cloud Webex attraverso un canale ECDH separato per ottenere la chiave dal KMS appropriato, quindi restituisce la chiave all'utente sul canale originale.

                                                                                                                                                  Il servizio KMS in esecuzione sull'organizzazione A convalida le connessioni ai KMS in altre organizzazioni utilizzando certificati PKI x.509. Vedere Preparazione dell'ambiente per informazioni dettagliate sulla generazione di un certificato x.509 da utilizzare con la distribuzione di sicurezza dei dati ibridi.

                                                                                                                                                  Aspettative per la distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Una distribuzione di sicurezza dei dati ibridi richiede un significativo impegno del cliente e una consapevolezza dei rischi derivanti dal possesso di chiavi di crittografia.

                                                                                                                                                  Per distribuire la sicurezza dei dati ibridi, è necessario fornire:

                                                                                                                                                  La perdita completa della configurazione ISO creata per la sicurezza dei dati ibridi o del database fornito provocherà la perdita delle chiavi. La perdita di chiave impedisce agli utenti di decrittografare il contenuto dello spazio e altri dati crittografati nell'app Webex. In questo caso, è possibile creare una nuova distribuzione, ma solo nuovi contenuti saranno visibili. Per evitare di perdere l'accesso ai dati, è necessario:

                                                                                                                                                  • Gestire il backup e il ripristino del database e della configurazione ISO.

                                                                                                                                                  • Prepararsi a eseguire un rapido ripristino di emergenza in caso di catastrofe, come guasto del disco del database o disastro del centro dati.


                                                                                                                                                   

                                                                                                                                                  Non esiste un meccanismo per spostare nuovamente i tasti sul cloud dopo una distribuzione HDS.

                                                                                                                                                  Processo di impostazione di alto livello

                                                                                                                                                  Questo documento copre l'impostazione e la gestione di una distribuzione di sicurezza dei dati ibridi:

                                                                                                                                                  • Impostazione della sicurezza dei dati ibridi: include la preparazione dell'infrastruttura richiesta e l'installazione del software di sicurezza dei dati ibridi, il test della distribuzione con un sottogruppo di utenti in modalità di prova e, una volta completato il test, il passaggio alla produzione. In questo modo, l'intera organizzazione viene convertita per utilizzare il cluster di sicurezza dei dati ibridi per le funzioni di sicurezza.

                                                                                                                                                    Le fasi di configurazione, prova e produzione sono descritte in dettaglio nei prossimi tre capitoli.

                                                                                                                                                  • Mantieni la distribuzione di sicurezza dei dati ibridi: il cloud Webex fornisce automaticamente aggiornamenti continui. Il reparto IT può fornire il supporto di primo livello per questa distribuzione e coinvolgere il supporto Cisco come necessario. Puoi utilizzare notifiche a schermo e impostare avvisi basati su e-mail in Control Hub.

                                                                                                                                                  • Comprendere avvisi comuni, fasi di risoluzione dei problemi e problemi noti: se si verificano problemi di distribuzione o utilizzo della sicurezza dei dati ibridi, l'ultimo capitolo di questa guida e l'appendice Problemi noti possono aiutare a determinare e risolvere il problema.

                                                                                                                                                  Modello di distribuzione di sicurezza dei dati ibridi

                                                                                                                                                  All'interno del centro dati aziendale, si distribuisce Hybrid Data Security come singolo cluster di nodi su host virtuali separati. I nodi comunicano con il cloud Webex attraverso websocket sicuri e HTTP sicuro.

                                                                                                                                                  Durante il processo di installazione, viene fornito il file OVA per impostare l'applicazione virtuale sulle VM fornite. Utilizzare lo strumento di impostazione HDS per creare un file ISO di configurazione del cluster personalizzato che viene montato su ciascun nodo. Il cluster di sicurezza dei dati ibridi utilizza il server Syslogd fornito e il database PostgreSQL o Microsoft SQL Server. Configurare i dettagli di connessione Syslogd e database nello strumento di impostazione HDS.

                                                                                                                                                  Modello di distribuzione di sicurezza dei dati ibridi

                                                                                                                                                  Il numero minimo di nodi che puoi avere in un cluster è due. Si consiglia di averne almeno tre e si possono averne fino a cinque. La presenza di più nodi garantisce che il servizio non venga interrotto durante un aggiornamento software o un'altra attività di manutenzione su un nodo. (Il cloud Webex aggiorna solo un nodo alla volta).

                                                                                                                                                  Tutti i nodi in un cluster accedono allo stesso datastore chiave e registrano l'attività sullo stesso server syslog. I nodi stessi sono apolidi e gestiscono le richieste chiave in modo rotondo-robin, come diretto dal cloud.

                                                                                                                                                  I nodi diventano attivi quando vengono registrati in Control Hub. Per rimuovere un singolo nodo dal servizio, puoi annullarne la registrazione e successivamente eseguirne l'iscrizione, se necessario.

                                                                                                                                                  È supportato solo un singolo cluster per organizzazione.

                                                                                                                                                  Modalità di prova della sicurezza dei dati ibridi

                                                                                                                                                  Dopo aver impostato una distribuzione di sicurezza dei dati ibridi, provare con una serie di utenti pilota. Durante il periodo di prova, questi utenti utilizzano il dominio di sicurezza dei dati ibridi in sede per le chiavi di crittografia e altri servizi di area di sicurezza. Gli altri utenti continuano a utilizzare l'area di sicurezza del cloud.

                                                                                                                                                  Se si decide di non continuare con la distribuzione durante la versione di prova e disattivare il servizio, gli utenti pilota e qualsiasi utente con cui hanno interagito creando nuovi spazi durante il periodo di prova perderanno l'accesso ai messaggi e al contenuto. Nell'app Webex viene visualizzato il messaggio "Impossibile decrittografare questo messaggio".

                                                                                                                                                  Se si è soddisfatti che la distribuzione funzioni correttamente per gli utenti di prova e si è pronti ad estendere la sicurezza dei dati ibridi a tutti gli utenti, spostare la distribuzione in produzione. Gli utenti pilota continuano ad avere accesso alle chiavi in uso durante la prova. Tuttavia, non è possibile spostarsi avanti e indietro tra la modalità di produzione e la versione di prova originale. Se è necessario disattivare il servizio, ad esempio per eseguire il ripristino di emergenza, quando si riattiva è necessario avviare una nuova versione di prova e impostare il set di utenti pilota per la nuova versione di prova prima di tornare alla modalità di produzione. Se gli utenti conservano l'accesso ai dati a questo punto, dipende se sono stati mantenuti con successo i backup dell'archivio dati chiave e del file di configurazione ISO per i nodi di sicurezza dei dati ibridi nel cluster.

                                                                                                                                                  Centro dati standby per ripristino di emergenza

                                                                                                                                                  Durante la distribuzione, è possibile impostare un centro dati standby sicuro. In caso di disastro di un centro dati, è possibile non riuscire manualmente la distribuzione nel centro dati standby.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Failover manuale su centro dati standby

                                                                                                                                                  I database dei centri dati attivi e standby sono sincronizzati tra loro e ciò ridurrà al minimo il tempo necessario per eseguire il failover. Il file ISO del centro dati standby viene aggiornato con configurazioni aggiuntive che assicurano che i nodi siano registrati nell'organizzazione, ma non gestiranno il traffico. Pertanto, i nodi del centro dati standby rimangono sempre aggiornati con l'ultima versione del software HDS.


                                                                                                                                                   

                                                                                                                                                  I nodi di sicurezza dei dati ibridi attivi devono essere sempre nello stesso centro dati del server di database attivo.

                                                                                                                                                  Imposta centro dati standby per ripristino di emergenza

                                                                                                                                                  Effettuare le seguenti operazioni per configurare il file ISO del centro dati standby:

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Il centro dati standby deve rispecchiare l'ambiente di produzione delle VM e un database PostgreSQL o Microsoft SQL Server di backup. Ad esempio, se la produzione dispone di 3 VM con nodi HDS in esecuzione, l'ambiente di backup deve disporre di 3 VM (vedere Centro dati standby per ripristino di emergenza per una panoramica di questo modello di failover).

                                                                                                                                                  • Accertarsi che la sincronizzazione del database sia abilitata tra il database dei nodi cluster attivi e passivi.

                                                                                                                                                  1

                                                                                                                                                  Avviare lo strumento di impostazione HDS e seguire la procedura indicata in Crea una configurazione ISO per gli host HDS.


                                                                                                                                                   

                                                                                                                                                  Il file ISO deve essere una copia del file ISO originale del data center principale su cui devono essere effettuati i seguenti aggiornamenti di configurazione.

                                                                                                                                                  2

                                                                                                                                                  Dopo aver configurato il server Syslogd, fare clic su Impostazioni avanzate

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Impostazioni avanzate, aggiungi la configurazione seguente per posizionare il nodo in modalità passiva. In questa modalità, il nodo verrà registrato nell'organizzazione e connesso al cloud, ma non gestirà alcun traffico.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completa il processo di configurazione e salva il file ISO in una posizione facile da trovare.

                                                                                                                                                  5

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale. Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  6

                                                                                                                                                  Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic con il pulsante destro del mouse sulla VM e fare clic su Modifica impostazioni.

                                                                                                                                                  7

                                                                                                                                                  Fare clic su Modifica impostazioni >Unità CD/DVD 1 e selezionare Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Accertarsi che Connected e Connect all'accensione siano controllati in modo che le modifiche di configurazione aggiornate possano avere effetto dopo l'avvio dei nodi.

                                                                                                                                                  8

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 15 minuti.

                                                                                                                                                  9

                                                                                                                                                  Ripetere la procedura per ogni nodo nel centro dati standby.


                                                                                                                                                   

                                                                                                                                                  Controllare i registri di sistema per verificare che i nodi siano in modalità passiva. È necessario essere in grado di visualizzare il messaggio "KMS configurato in modalità passiva" nei registri di sistema.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Dopo la configurazione passiveMode nel file ISO e salvarlo, è possibile creare un'altra copia del file ISO senza il passiveMode configurazione e salvarla in una posizione sicura. Questa copia del file ISO senza passiveMode configurato può essere di aiuto in un rapido processo di failover durante il ripristino di emergenza. Vedere Ripristino di emergenza utilizzando il centro dati standby per la procedura di failover dettagliata.

                                                                                                                                                  Supporto proxy

                                                                                                                                                  La sicurezza dei dati ibridi supporta proxy espliciti, trasparenti e non ispezionati. È possibile associare questi proxy alla distribuzione in modo da poter proteggere e monitorare il traffico dall'azienda al cloud. È possibile utilizzare un'interfaccia di amministrazione della piattaforma sui nodi per la gestione dei certificati e per controllare lo stato generale della connettività dopo aver impostare il proxy sui nodi.

                                                                                                                                                  I nodi di sicurezza dei dati ibridi supportano le seguenti opzioni proxy:

                                                                                                                                                  • Nessun proxy: impostazione predefinita se non si utilizza la configurazione Trust Store e Proxy del nodo HDS per integrare un proxy. Nessun aggiornamento del certificato richiesto.

                                                                                                                                                  • Proxy non ispezionato trasparente: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non devono richiedere modifiche per lavorare con un proxy non ispezionato. Nessun aggiornamento del certificato richiesto.

                                                                                                                                                  • Tunneling trasparente o ispezione del proxy: i nodi non sono configurati per utilizzare un indirizzo del server proxy specifico. Nessuna modifica di configurazione HTTP o HTTPS è necessaria sui nodi. Tuttavia, i nodi necessitano di un certificato radice in modo che si fidino del proxy. Le deleghe di ispezione vengono solitamente utilizzate dal reparto IT per attuare politiche su cui i siti web possono essere visitati e su quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).

                                                                                                                                                  • Proxy esplicito: con il proxy esplicito, indicare ai nodi HDS quale server proxy e schema di autenticazione utilizzare. Per configurare un proxy esplicito, è necessario immettere le seguenti informazioni su ciascun nodo:

                                                                                                                                                    1. IP/FQDN proxy: indirizzo che può essere utilizzato per raggiungere la macchina proxy.

                                                                                                                                                    2. Porta proxy: un numero di porta utilizzato dal proxy per ascoltare il traffico proxy.

                                                                                                                                                    3. Protocollo proxy: a seconda del supporto del server proxy, scegliere tra i seguenti protocolli:

                                                                                                                                                      • HTTP: visualizza e controlla tutte le richieste inviate dal client.

                                                                                                                                                      • HTTPS: fornisce un canale al server. Il client riceve e convalida il certificato del server.

                                                                                                                                                    4. Tipo di autenticazione: scegliere uno dei seguenti tipi di autenticazione:

                                                                                                                                                      • Nessuno: non è richiesta alcuna ulteriore autenticazione.

                                                                                                                                                        Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

                                                                                                                                                      • Base: utilizzato per un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

                                                                                                                                                        Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

                                                                                                                                                        Richiede di immettere il nome utente e la password su ciascun nodo.

                                                                                                                                                      • Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e la password prima dell'invio tramite la rete.

                                                                                                                                                        Disponibile solo se si seleziona HTTPS come protocollo proxy.

                                                                                                                                                        Richiede di immettere il nome utente e la password su ciascun nodo.

                                                                                                                                                  Esempio di nodi e proxy di sicurezza dei dati ibridi

                                                                                                                                                  Questo diagramma mostra un esempio di connessione tra sicurezza dati ibridi, rete e proxy. Per le opzioni proxy di ispezione trasparente e di ispezione esplicita HTTPS, è necessario installare lo stesso certificato radice sul proxy e sui nodi di sicurezza dei dati ibridi.

                                                                                                                                                  Modalità di risoluzione DNS esterna bloccata (configurazioni proxy esplicite)

                                                                                                                                                  Quando si registra un nodo o si controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud Cisco Webex. Nelle distribuzioni con configurazioni proxy esplicite che non consentono la risoluzione DNS esterna per client interni, se il nodo non riesce a interrogare i server DNS, passa automaticamente in modalità di risoluzione DNS esterna bloccata. In questa modalità, è possibile continuare con la registrazione del nodo e altri test di connettività proxy.

                                                                                                                                                  Preparazione dell'ambiente

                                                                                                                                                  Requisiti per la sicurezza dei dati ibridi

                                                                                                                                                  Requisiti della licenza Cisco Webex

                                                                                                                                                  Per distribuire la sicurezza dei dati ibridi:

                                                                                                                                                  Requisiti desktop docker

                                                                                                                                                  Prima di installare i nodi HDS, è necessario Docker Desktop per eseguire un programma di impostazione. Docker ha recentemente aggiornato il modello di licenza. La tua organizzazione potrebbe richiedere un abbonamento a pagamento per Docker Desktop. Per informazioni dettagliate, vedi il post di blog Docker, " Docker sta aggiornando ed estendendo gli abbonamenti dei prodotti ".

                                                                                                                                                  Requisiti di certificato X.509

                                                                                                                                                  La catena di certificati deve soddisfare i seguenti requisiti:

                                                                                                                                                  Tabella 1. Requisiti di certificato X.509 per la distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Requisito

                                                                                                                                                  Dettagli

                                                                                                                                                  • Firmato da un'autorità di certificazione attendibile (CA)

                                                                                                                                                  Per impostazione predefinita, ci affidiamo alle CA presenti nella lista Mozilla (ad eccezione di WoSign e StartCom) su https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Contiene un nome di dominio nome comune (CN) che identifica la distribuzione di Hybrid Data Security

                                                                                                                                                  • Non è un certificato jolly

                                                                                                                                                  Il CN non deve essere raggiungibile o un organizzatore in diretta. Si consiglia di utilizzare un nome che rifletta la propria organizzazione, ad esempio, hds.company.com.

                                                                                                                                                  Il CN non deve contenere un * (carattere jolly).

                                                                                                                                                  Il CN viene utilizzato per verificare i nodi di sicurezza dei dati ibridi nei client dell'app Webex. Tutti i nodi di sicurezza dei dati ibridi nel cluster utilizzano lo stesso certificato. Il tuo KMS si identifica utilizzando il dominio CN, non qualsiasi dominio definito nei campi x.509v3 SAN.

                                                                                                                                                  Una volta registrato un nodo con questo certificato, non è possibile modificare il nome del dominio CN. Scegliere un dominio che possa essere applicato sia alle distribuzioni di prova che a quelle di produzione.

                                                                                                                                                  • Firma non SHA1

                                                                                                                                                  Il software KMS non supporta le firme SHA1 per la convalida delle connessioni ai KMS di altre organizzazioni.

                                                                                                                                                  • Formattato come file PKCS #12 protetto da password

                                                                                                                                                  • Usa il nome amichevole di kms-private-key per contrassegnare il certificato, la chiave privata e qualsiasi certificato intermedio da caricare.

                                                                                                                                                  È possibile utilizzare un convertitore come OpenSSL per modificare il formato del certificato.

                                                                                                                                                  Quando si esegue lo strumento di impostazione HDS, è necessario immettere la password.

                                                                                                                                                  Il software KMS non applica l'utilizzo delle chiavi o vincoli di utilizzo delle chiavi estesi. Alcune autorità di certificazione richiedono l'applicazione di vincoli di utilizzo chiave estesi a ciascun certificato, come l'autenticazione del server. È possibile utilizzare l'autenticazione del server o altre impostazioni.

                                                                                                                                                  Requisiti organizzatore virtuale

                                                                                                                                                  Gli organizzatori virtuali che verranno impostati come nodi di sicurezza dei dati ibridi nel cluster presentano i seguenti requisiti:

                                                                                                                                                  • Almeno due organizzatori separati (3 consigliati) coposizionati nello stesso centro dati sicuro

                                                                                                                                                  • VMware ESXi 6.5 (o versioni successive) installato e in esecuzione.


                                                                                                                                                     

                                                                                                                                                    È necessario eseguire l'aggiornamento se si dispone di una versione precedente di ESXi.

                                                                                                                                                  • Minimo 4 vCPU, memoria principale da 8 GB, spazio su disco rigido locale da 30 GB per server

                                                                                                                                                  Requisiti server database


                                                                                                                                                   

                                                                                                                                                  Creare un nuovo database per lo storage delle chiavi. Non utilizzare il database predefinito. Le applicazioni HDS, una volta installate, creano lo schema del database.

                                                                                                                                                  Sono disponibili due opzioni per il server del database. I requisiti per ciascuno di essi sono i seguenti:

                                                                                                                                                  Tabella 2. Requisiti del server di database per tipo di database

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  • PostgreSQL 14, 15 o 16, installato e in esecuzione.

                                                                                                                                                  • SQL Server 2016, 2017 o 2019 (Enterprise o Standard) installato.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 richiede il Service Pack 2 e l'aggiornamento cumulativo 2 o successivo.

                                                                                                                                                  Minimo 8 vCPU, memoria principale 16-GB, spazio su disco rigido sufficiente e monitoraggio per assicurarsi che non venga superato (2-TB consigliato se si desidera eseguire il database per un lungo periodo di tempo senza dover aumentare lo storage)

                                                                                                                                                  Minimo 8 vCPU, memoria principale 16-GB, spazio su disco rigido sufficiente e monitoraggio per assicurarsi che non venga superato (2-TB consigliato se si desidera eseguire il database per un lungo periodo di tempo senza dover aumentare lo storage)

                                                                                                                                                  Il software HDS attualmente installa le seguenti versioni del driver per la comunicazione con il server del database:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  Driver Postgres JDBC 42.2.5

                                                                                                                                                  Driver JDBC server SQL 4.6

                                                                                                                                                  Questa versione del driver supporta SQL Server Always On (istanze cluster di failover Always On e gruppi di disponibilità Always On).

                                                                                                                                                  Requisiti aggiuntivi per l'autenticazione Windows rispetto a Microsoft SQL Server

                                                                                                                                                  Se si desidera che i nodi HDS utilizzino l'autenticazione Windows per accedere al database dei keystore su Microsoft SQL Server, è necessaria la seguente configurazione nel proprio ambiente:

                                                                                                                                                  • I nodi HDS, l'infrastruttura Active Directory e il server MS SQL devono essere tutti sincronizzati con NTP.

                                                                                                                                                  • L'account Windows fornito ai nodi HDS deve disporre dell'accesso in lettura/scrittura al database.

                                                                                                                                                  • I server DNS forniti ai nodi HDS devono essere in grado di risolvere il Key Distribution Center (KDC).

                                                                                                                                                  • È possibile registrare l'istanza del database HDS su Microsoft SQL Server come SPN (Service Principal Name) in Active Directory. Vedere Registrazione di un nome principale del servizio per le connessioni Kerberos.

                                                                                                                                                    Lo strumento di impostazione HDS, HDS launcher e KMS locali devono tutti utilizzare l'autenticazione Windows per accedere al database del keystore. Utilizzano i dettagli della configurazione ISO per costruire l'SPN quando si richiede l'accesso con autenticazione Kerberos.

                                                                                                                                                  Requisiti di connettività esterna

                                                                                                                                                  Configurare il firewall per consentire la seguente connettività per le applicazioni HDS:

                                                                                                                                                  Applicazione

                                                                                                                                                  Protocol

                                                                                                                                                  Porta

                                                                                                                                                  Direzione dall'app

                                                                                                                                                  Destinazione

                                                                                                                                                  Nodi di sicurezza dati ibridi

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS e WSS in uscita

                                                                                                                                                  • Server Webex:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Tutti gli organizzatori Common Identity

                                                                                                                                                  • Altri URL elencati per la sicurezza dei dati ibridi nella tabella degli URL aggiuntivi per i servizi ibridi Webex dei requisiti di rete per i servizi Webex

                                                                                                                                                  Strumento di impostazione HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS in uscita

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Tutti gli organizzatori Common Identity

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  I nodi di sicurezza dei dati ibridi funzionano con la traduzione dell'accesso alla rete (NAT) o dietro un firewall, a condizione che il NAT o il firewall consentano le connessioni in uscita richieste alle destinazioni del dominio nella tabella precedente. Per le connessioni in ingresso ai nodi di sicurezza dei dati ibridi, nessuna porta deve essere visibile da Internet. All'interno del centro dati, i client devono accedere ai nodi di sicurezza dei dati ibridi sulle porte TCP 443 e 22 per fini amministrativi.

                                                                                                                                                  Gli URL per gli host Common Identity (CI) sono specifici della regione. Questi sono gli host CI correnti:

                                                                                                                                                  Regione

                                                                                                                                                  URL host identità comune

                                                                                                                                                  Americhe

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Unione Europea

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Canada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Requisiti server proxy

                                                                                                                                                  • Sono supportate ufficialmente le seguenti soluzioni proxy che possono essere integrate con i nodi di sicurezza dei dati ibridi.

                                                                                                                                                  • Sono supportate le seguenti combinazioni di tipi di autenticazione per proxy espliciti:

                                                                                                                                                    • Nessuna autenticazione con HTTP o HTTPS

                                                                                                                                                    • Autenticazione di base con HTTP o HTTPS

                                                                                                                                                    • Autenticazione del digest solo con HTTPS

                                                                                                                                                  • Per un proxy di ispezione trasparente o un proxy esplicito HTTPS, è necessario disporre di una copia del certificato radice del proxy. Le istruzioni di distribuzione in questa guida indicano come caricare la copia negli archivi attendibilità dei nodi di sicurezza dei dati ibridi.

                                                                                                                                                  • È necessario configurare la rete che ospita i nodi HDS per forzare il traffico TCP in uscita sulla porta 443 per l'indirizzamento attraverso il proxy.

                                                                                                                                                  • I proxy che controllano il traffico Web possono interferire con le connessioni dei socket Web. Se si verifica questo problema, aggirare (non ispezionare) il traffico verso wbx2.com e ciscospark.com risolverà il problema.

                                                                                                                                                  Completamento dei prerequisiti per la sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare questa lista di controllo per assicurarsi di essere pronti a installare e configurare il cluster di sicurezza dei dati ibridi.
                                                                                                                                                  1

                                                                                                                                                  Accertarsi che l'organizzazione Webex sia abilitata per Pro Pack per Cisco Webex Control Hub e ottenere le credenziali di un account con diritti di amministratore dell'organizzazione completi. Contattare il partner Cisco o l'account manager per assistenza con questo processo.

                                                                                                                                                  2

                                                                                                                                                  Scegliere un nome di dominio per la distribuzione HDS (ad esempio, hds.company.com) e ottenere una catena di certificati contenente un certificato X.509, chiave privata e qualsiasi certificato intermedio. La catena di certificati deve soddisfare i requisiti di Requisiti di certificato X.509.

                                                                                                                                                  3

                                                                                                                                                  Preparare host virtuali identici che verranno impostati come nodi di sicurezza dei dati ibridi nel cluster. Sono necessari almeno due organizzatori separati (3 consigliati) coposizionati nello stesso centro dati sicuro, che soddisfano i requisiti dei requisiti dell'organizzatore virtuale.

                                                                                                                                                  4

                                                                                                                                                  Preparare il server del database che fungerà da archivio dati chiave per il cluster, in base ai requisiti del server del database. Il server del database deve essere co-posizionato nel centro dati sicuro con gli host virtuali.

                                                                                                                                                  1. Creare un database per lo storage delle chiavi. (È necessario creare questo database; non utilizzare il database predefinito. Le applicazioni HDS, una volta installate, creano lo schema del database.)

                                                                                                                                                  2. Raccogliere i dettagli che i nodi utilizzeranno per comunicare con il server del database:

                                                                                                                                                    • nome host o indirizzo IP (host) e porta

                                                                                                                                                    • nome del database (dbname) per l'archiviazione chiave

                                                                                                                                                    • nome utente e password di un utente con tutti i privilegi nel database di memorizzazione delle chiavi

                                                                                                                                                  5

                                                                                                                                                  Per un rapido ripristino di emergenza, impostare un ambiente di backup in un centro dati diverso. L'ambiente di backup rispecchia l'ambiente di produzione delle VM e un server di database di backup. Ad esempio, se la produzione dispone di 3 VM con nodi HDS in esecuzione, l'ambiente di backup deve disporre di 3 VM.

                                                                                                                                                  6

                                                                                                                                                  Impostare un host syslog per raccogliere i registri dai nodi nel cluster. Raccogliere l'indirizzo di rete e la porta syslog (l'impostazione predefinita è UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Creare un criterio di backup sicuro per i nodi di sicurezza dei dati ibridi, il server di database e l'host syslog. Come minimo, per evitare perdite di dati non recuperabili, è necessario eseguire il backup del database e del file ISO di configurazione generato per i nodi di sicurezza dei dati ibridi.


                                                                                                                                                   

                                                                                                                                                  Poiché i nodi Hybrid Data Security memorizzano le chiavi utilizzate nella crittografia e decrittografia del contenuto, la mancata gestione di una distribuzione operativa comporterà la PERDITA IRRECUPERABILE di tale contenuto.

                                                                                                                                                  I client dell'app Webex memorizzano nella cache le proprie chiavi, pertanto un'interruzione potrebbe non essere immediatamente evidente, ma diventerà evidente nel tempo. Mentre le interruzioni temporanee sono impossibili da prevenire, sono recuperabili. Tuttavia, la perdita completa (nessun backup disponibile) del database o del file ISO di configurazione determinerà dati cliente non recuperabili. Gli operatori dei nodi di sicurezza dei dati ibridi sono tenuti a mantenere frequenti backup del database e del file ISO di configurazione, ed essere preparati a ricostruire il centro dati di sicurezza dei dati ibridi se si verifica un errore catastrofico.

                                                                                                                                                  8

                                                                                                                                                  Assicurarsi che la configurazione del firewall consenta la connettività per i nodi Hybrid Data Security come descritto nei requisiti di connettività esterna.

                                                                                                                                                  9

                                                                                                                                                  Installare il Docker ( https://www.docker.com) su qualsiasi macchina locale che esegue un sistema operativo supportato (Microsoft Windows 10 Professional o Enterprise 64 bit o Mac OSX Yosemite 10.10.3 o superiore) con un browser Web che può accedervi su http://127.0.0.1:8080.

                                                                                                                                                  Utilizzare l'istanza Docker per scaricare ed eseguire lo strumento di impostazione HDS, che crea le informazioni di configurazione locali per tutti i nodi di sicurezza dei dati ibridi. La tua organizzazione potrebbe aver bisogno di una licenza Docker Desktop. Per ulteriori informazioni, vedere Requisiti desktop docker.

                                                                                                                                                  Per installare ed eseguire lo strumento di impostazione HDS, la macchina locale deve disporre della connettività descritta nei requisiti di connettività esterna.

                                                                                                                                                  10

                                                                                                                                                  Se si sta integrando un proxy con la sicurezza dei dati ibridi, assicurarsi che soddisfi i Requisiti del server proxy.

                                                                                                                                                  11

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche, creare un gruppo in Active Directory chiamato HdsTrialGroup e aggiungere gli utenti pilota. Il gruppo di prova può contenere fino a 250 utenti. Il HdsTrialGroup oggetto deve essere sincronizzato con il cloud prima di poter avviare una versione di prova per la propria organizzazione. Per sincronizzare un oggetto di gruppo, selezionarlo in Connettore directory Configurazione > menu Selezione oggetto. (Per istruzioni dettagliate, vedere la Guida alla distribuzione per Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Le chiavi per un determinato spazio sono impostate dal creatore dello spazio. Quando si selezionano gli utenti pilota, tenere presente che se si decide di disattivare in modo permanente la distribuzione di sicurezza dei dati ibridi, tutti gli utenti perderanno l'accesso al contenuto negli spazi creati dagli utenti pilota. La perdita diventa evidente non appena le app degli utenti aggiornano le copie memorizzate nella cache del contenuto.

                                                                                                                                                  Impostazione di un cluster di sicurezza dei dati ibridi

                                                                                                                                                  Flusso attività distribuzione sicurezza dati ibridi

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Preparazione dell'ambiente

                                                                                                                                                  1

                                                                                                                                                  Scarica file di installazione

                                                                                                                                                  Scaricare il file OVA sulla macchina locale per utilizzarlo successivamente.

                                                                                                                                                  2

                                                                                                                                                  Creazione di un ISO di configurazione per gli host HDS

                                                                                                                                                  Utilizzare lo strumento di impostazione HDS per creare un file di configurazione ISO per i nodi di sicurezza dei dati ibridi.

                                                                                                                                                  3

                                                                                                                                                  Installazione del file OVA organizzatore HDS

                                                                                                                                                  Creare una macchina virtuale dal file OVA ed eseguire la configurazione iniziale, come le impostazioni di rete.


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  4

                                                                                                                                                  Impostazione della sicurezza dei dati ibridi VM

                                                                                                                                                  Accedere alla console VM e impostare le credenziali di accesso. Configura le impostazioni di rete per il nodo se non le hai configurate al momento della distribuzione OVA.

                                                                                                                                                  5

                                                                                                                                                  Caricamento e montaggio della configurazione HDS ISO

                                                                                                                                                  Configurare la VM dal file di configurazione ISO creato con lo strumento di impostazione HDS.

                                                                                                                                                  6

                                                                                                                                                  Configurazione del nodo HDS per l'integrazione proxy

                                                                                                                                                  Se l'ambiente di rete richiede la configurazione del proxy, specificare il tipo di proxy che verrà utilizzato per il nodo e aggiungere il certificato proxy all'archivio attendibilità, se necessario.

                                                                                                                                                  7

                                                                                                                                                  Registrazione del primo nodo nel cluster

                                                                                                                                                  Registrare la VM con il cloud Cisco Webex come nodo di sicurezza dei dati ibridi.

                                                                                                                                                  8

                                                                                                                                                  Creazione e registrazione di altri nodi

                                                                                                                                                  Completare l'impostazione del cluster.

                                                                                                                                                  9

                                                                                                                                                  Eseguire una versione di prova e passare alla produzione (capitolo successivo)

                                                                                                                                                  Fino a quando non si avvia una versione di prova, i nodi generano un allarme a indicare che il servizio non è ancora attivato.

                                                                                                                                                  Scarica file di installazione

                                                                                                                                                  In questa attività, è possibile scaricare un file OVA sulla macchina (non sui server configurati come nodi di sicurezza dei dati ibridi). Utilizzare questo file in seguito nel processo di installazione.
                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com, quindi fare clic su Servizi.

                                                                                                                                                  2

                                                                                                                                                  Nella sezione Servizi ibridi, trovare la scheda di sicurezza dei dati ibridi, quindi fare clic su Imposta.

                                                                                                                                                  Se la scheda è disabilitata o non viene visualizzata, contattare il team dell'account o l'organizzazione partner. Fornisci il tuo numero di account e chiedi di abilitare la sicurezza dei dati ibridi per la tua organizzazione. Per trovare il numero di account, fare clic sull'ingranaggio in alto a destra accanto al nome dell'organizzazione.


                                                                                                                                                   

                                                                                                                                                  È inoltre possibile scaricare il file OVA in qualsiasi momento dalla sezione Guida della pagina Impostazioni. Nella scheda Sicurezza dati ibridi, fare clic su Modifica impostazioni per aprire la pagina. Quindi, fare clic su Scarica software di sicurezza dati ibridi nella sezione Guida .


                                                                                                                                                   

                                                                                                                                                  Le versioni precedenti del pacchetto software (OVA) non saranno compatibili con gli ultimi aggiornamenti di sicurezza dati ibridi. Ciò può provocare problemi durante l'aggiornamento dell'applicazione. Accertarsi di scaricare l'ultima versione del file OVA.

                                                                                                                                                  3

                                                                                                                                                  Seleziona No per indicare che non hai ancora impostato il nodo, quindi fai clic su Avanti.

                                                                                                                                                  Il file OVA inizia automaticamente al download. Salvare il file in una posizione sulla macchina.
                                                                                                                                                  4

                                                                                                                                                  Opzionalmente, fare clic su Apri guida alla distribuzione per verificare se è disponibile una versione successiva di questa guida.

                                                                                                                                                  Creazione di un ISO di configurazione per gli host HDS

                                                                                                                                                  Il processo di impostazione della sicurezza dei dati ibridi crea un file ISO. Quindi, utilizzare l'ISO per configurare l'host Hybrid Data Security.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Lo strumento di impostazione HDS viene eseguito come contenitore Docker su una macchina locale. Per accedervi, eseguire Docker su tale macchina. Il processo di impostazione richiede le credenziali di un account Control Hub con diritti di amministratore completi per l'organizzazione.

                                                                                                                                                    Se lo strumento di impostazione HDS viene eseguito dietro un proxy nel proprio ambiente, fornire le impostazioni del proxy (server, porta, credenziali) attraverso le variabili di ambiente Docker quando si solleva il contenitore Docker al punto 5. Questa tabella fornisce alcune possibili variabili di ambiente:

                                                                                                                                                    Descrizione

                                                                                                                                                    Variabile

                                                                                                                                                    proxy HTTP senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    proxy HTTP con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Il file ISO di configurazione generato contiene la chiave principale che crittografa il database PostgreSQL o Microsoft SQL Server. È necessaria l'ultima copia di questo file ogni volta che si apportano modifiche di configurazione, come queste:

                                                                                                                                                    • Credenziali del database

                                                                                                                                                    • Aggiornamenti dei certificati

                                                                                                                                                    • Modifiche ai criteri di autorizzazione

                                                                                                                                                  • Se si intende crittografare le connessioni al database, impostare la distribuzione di PostgreSQL o SQL Server per TLS.

                                                                                                                                                  1

                                                                                                                                                  Nella riga di comando della macchina, immettere il comando appropriato per l'ambiente:

                                                                                                                                                  In ambienti normali:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  In ambienti FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Questo passaggio ripulisce le immagini precedenti dello strumento di impostazione HDS. Se non sono presenti immagini precedenti, viene restituito un errore che può essere ignorato.

                                                                                                                                                  2

                                                                                                                                                  Per accedere al registro immagini Docker, immettere quanto segue:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  Alla richiesta della password, immettere questo hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Scaricare l'immagine stabile più recente per il proprio ambiente:

                                                                                                                                                  In ambienti normali:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  In ambienti FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Al termine del pull, immettere il comando appropriato per l'ambiente:

                                                                                                                                                  • In ambienti normali senza proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti normali con un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti normali con un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti FedRAMP senza proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • In ambienti FedRAMP con un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • In ambienti FedRAMP con un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Quando il contenitore è in esecuzione, viene visualizzato il messaggio "server Express in attesa sulla porta 8080".

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Lo strumento Imposta non supporta la connessione a localhost tramite http://localhost:8080. Usa http://127.0.0.1:8080 per connetterti a localhost.

                                                                                                                                                  Utilizzare un browser Web per passare all'host locale, http://127.0.0.1:8080 e immettere il nome utente di amministrazione cliente per Control Hub al prompt.

                                                                                                                                                  Lo strumento utilizza questa prima voce del nome utente per impostare l'ambiente appropriato per tale account. Lo strumento visualizza la richiesta di accesso standard.

                                                                                                                                                  7

                                                                                                                                                  Quando richiesto, inserisci le credenziali di accesso amministratore cliente Control Hub, quindi fai clic su Accedi per consentire l'accesso ai servizi richiesti per la sicurezza dei dati ibridi.

                                                                                                                                                  8

                                                                                                                                                  Nella pagina di panoramica dello Strumento di impostazione, fare clic su Introduzione.

                                                                                                                                                  9

                                                                                                                                                  Nella pagina Importazione ISO sono disponibili le seguenti opzioni:

                                                                                                                                                  • No: se stai creando il tuo primo nodo HDS, non disponi di un file ISO da caricare.
                                                                                                                                                  • : se sono già stati creati nodi HDS, selezionare il file ISO nel browser e caricarlo.
                                                                                                                                                  10

                                                                                                                                                  Verificare che il certificato X.509 soddisfi i requisiti di Requisiti di certificato X.509.

                                                                                                                                                  • Se non è mai stato caricato un certificato prima, caricare il certificato X.509, immettere la password e fare clic su Continua.
                                                                                                                                                  • Se il certificato è OK, fare clic su Continua.
                                                                                                                                                  • Se il certificato è scaduto o si desidera sostituirlo, selezionare No per Continua a utilizzare la catena di certificati HDS e la chiave privata della precedente ISO?. Caricare un nuovo certificato X.509, immettere la password e fare clic su Continua.
                                                                                                                                                  11

                                                                                                                                                  Inserire l'indirizzo del database e l'account per HDS per accedere al datastore della chiave:

                                                                                                                                                  1. Selezionare il tipo di database (PostgreSQL o Microsoft SQL Server).

                                                                                                                                                    Se si sceglie Microsoft SQL Server, viene visualizzato un campo Tipo di autenticazione.

                                                                                                                                                  2. (solo Microsoft SQL Server) Selezionare il tipo di autenticazione:

                                                                                                                                                    • Autenticazione di base: È necessario un nome di account SQL Server locale nel campo Nome utente.

                                                                                                                                                    • Autenticazione di Windows: È necessario un account Windows nel formato username@DOMAIN nel campo Nome utente.

                                                                                                                                                  3. Immettere l'indirizzo del server del database nel modulo <hostname>:<port> o <IP-address>:<port>.

                                                                                                                                                    Esempio:
                                                                                                                                                    dbhost.example.org:1433 o 198.51.100.17:1433

                                                                                                                                                    È possibile utilizzare un indirizzo IP per l'autenticazione di base, se i nodi non possono utilizzare il DNS per risolvere il nome host.

                                                                                                                                                    Se si utilizza l'autenticazione Windows, è necessario immettere un nome di dominio completo nel formato dbhost.example.org:1433

                                                                                                                                                  4. Immettere il nome del database.

                                                                                                                                                  5. Immettere il nome utente e la password di un utente con tutti i privilegi nel database di storage dei tasti.

                                                                                                                                                  12

                                                                                                                                                  Selezionare una modalità di connessione al database TLS:

                                                                                                                                                  Mode

                                                                                                                                                  Descrizione

                                                                                                                                                  Preferire TLS (opzione predefinita)

                                                                                                                                                  I nodi HDS non richiedono che TLS si connetta al server del database. Se si abilita TLS sul server del database, i nodi tentano una connessione crittografata.

                                                                                                                                                  Richiedi TLS

                                                                                                                                                  I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  Require TLS e verificare il firmatario del certificato


                                                                                                                                                   

                                                                                                                                                  Questa modalità non è applicabile ai database del server SQL.

                                                                                                                                                  • I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  • Dopo aver stabilito una connessione TLS, il nodo confronta il firmatario del certificato dal server del database con l'autorità di certificazione nel certificato principale del database. Se non corrispondono, il nodo interrompe la connessione.

                                                                                                                                                  Utilizzare il certificato radice database sotto l'elenco a discesa per caricare il certificato radice per questa opzione.

                                                                                                                                                  Require TLS e verificare il firmatario del certificato e il nome host

                                                                                                                                                  • I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  • Dopo aver stabilito una connessione TLS, il nodo confronta il firmatario del certificato dal server del database con l'autorità di certificazione nel certificato principale del database. Se non corrispondono, il nodo interrompe la connessione.

                                                                                                                                                  • I nodi verificano anche che il nome host nel certificato del server corrisponda al nome host nel campo Host database e porta. I nomi devono corrispondere esattamente oppure il nodo interrompe la connessione.

                                                                                                                                                  Utilizzare il certificato radice database sotto l'elenco a discesa per caricare il certificato radice per questa opzione.

                                                                                                                                                  Quando si carica il certificato radice (se necessario) e si fa clic su Continua, lo strumento di impostazione HDS verifica la connessione TLS al server del database. Lo strumento verifica anche il firmatario del certificato e il nome host, se applicabile. Se un test non viene superato, lo strumento visualizza un messaggio di errore descrive il problema. È possibile scegliere di ignorare l'errore e continuare con l'impostazione. A causa delle differenze di connettività, i nodi HDS potrebbero essere in grado di stabilire la connessione TLS anche se la macchina dello strumento di impostazione HDS non può testarla correttamente.

                                                                                                                                                  13

                                                                                                                                                  Nella pagina Registri di sistema, configurare il server Syslogd:

                                                                                                                                                  1. Immettere l'URL del server syslog.

                                                                                                                                                    Se il server non è risolvibile con DNS dai nodi per il cluster HDS, utilizzare un indirizzo IP nell'URL.

                                                                                                                                                    Esempio:
                                                                                                                                                    udp://10.92.43.23:514 indica l'accesso all'host Syslogd 10.92.43.23 sulla porta UDP 514.
                                                                                                                                                  2. Se si imposta il server per utilizzare la crittografia TLS, verificare che Il server syslog sia configurato per la crittografia SSL?.

                                                                                                                                                    Se si seleziona questa casella di controllo, accertarsi di inserire un URL TCP come tcp://10.92.43.23:514.

                                                                                                                                                  3. Dal menu a discesa Scegli terminazione record syslog, scegli l'impostazione appropriata per il tuo file ISO: Scegli o Newline viene utilizzato per Graylog e Rsyslog TCP

                                                                                                                                                    • Byte nullo -- \x00

                                                                                                                                                    • Newline -- \n—Selezionare questa scelta per Graylog e Rsyslog TCP.

                                                                                                                                                  4. Fare clic su Continua.

                                                                                                                                                  14

                                                                                                                                                  (Opzionale) È possibile modificare il valore predefinito per alcuni parametri di connessione al database in Impostazioni avanzate. In generale, questo parametro è l'unico parametro che si potrebbe voler modificare:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Fare clic su Continua nella schermata Reimposta password account di servizio.

                                                                                                                                                  Le password degli account di servizio hanno una durata di nove mesi. Utilizzare questa schermata quando le password sono prossime alla scadenza o si desidera reimpostarle per invalidare i file ISO precedenti.

                                                                                                                                                  16

                                                                                                                                                  Fare clic su Scarica file ISO. Salva il file in una posizione facile da trovare.

                                                                                                                                                  17

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale.

                                                                                                                                                  Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  18

                                                                                                                                                  Per chiudere lo strumento di installazione, digitare CTRL+C.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Eseguire il backup del file ISO di configurazione. È necessario creare più nodi per il ripristino o apportare modifiche alla configurazione. Se si perdono tutte le copie del file ISO, si perde anche la chiave principale. Non è possibile recuperare le chiavi dal database PostgreSQL o Microsoft SQL Server.


                                                                                                                                                   

                                                                                                                                                  Non abbiamo mai una copia di questa chiave e non possiamo aiutarti se la perdi.

                                                                                                                                                  Installazione del file OVA organizzatore HDS

                                                                                                                                                  Utilizzare questa procedura per creare una macchina virtuale dal file OVA.
                                                                                                                                                  1

                                                                                                                                                  Utilizzare il client VMware vSphere sul computer per accedere all'host virtuale ESXi.

                                                                                                                                                  2

                                                                                                                                                  Selezionare File > Distribuisci modello OVF.

                                                                                                                                                  3

                                                                                                                                                  Nella procedura guidata, specificare la posizione del file OVA scaricato in precedenza, quindi fare clic su Successivo.

                                                                                                                                                  4

                                                                                                                                                  Il Seleziona un nome e una cartella pagina , inserisci un Nome macchina virtuale per il nodo (ad esempio, "HDS_Node_1"), scegliere una posizione in cui può risiedere la distribuzione del nodo della macchina virtuale, quindi fare clic su Successivo.

                                                                                                                                                  5

                                                                                                                                                  Il Seleziona una risorsa di calcolo pagina , scegliere la risorsa di calcolo della destinazione, quindi fare clic su Successivo.

                                                                                                                                                  Viene eseguito un controllo di convalida. Al termine, vengono visualizzati i dettagli del modello.

                                                                                                                                                  6

                                                                                                                                                  Verificare i dettagli del modello, quindi fare clic su Avanti.

                                                                                                                                                  7

                                                                                                                                                  Se viene richiesto di scegliere la configurazione delle risorse in Configurazione pagina , fare clic su 4 CPU e fare clic su Successivo.

                                                                                                                                                  8

                                                                                                                                                  Il Seleziona storage pagina , fare clic su Successivo per accettare il formato di disco predefinito e i criteri di storage della VM.

                                                                                                                                                  9

                                                                                                                                                  Il Seleziona reti, scegliere l'opzione di rete dall'elenco di voci per fornire la connettività desiderata alla VM.

                                                                                                                                                  10

                                                                                                                                                  Nella pagina Personalizza modello, configurare le seguenti impostazioni di rete:

                                                                                                                                                  • Nome host: inserisci il nome host FQDN (nome host e dominio) o un nome host di singola parola per il nodo.

                                                                                                                                                     
                                                                                                                                                    • Non è necessario impostare il dominio in base al dominio utilizzato per ottenere il certificato X.509.

                                                                                                                                                    • Per garantire una registrazione corretta nel cloud, utilizza solo caratteri minuscoli nel nome host o FQDN impostato per il nodo. La capitalizzazione non è attualmente supportata.

                                                                                                                                                    • La lunghezza totale del nome di dominio completo non deve superare 64 caratteri.

                                                                                                                                                  • Indirizzo IP: immettere l'indirizzo IP per l'interfaccia interna del nodo.

                                                                                                                                                     

                                                                                                                                                    Il nodo deve disporre di un indirizzo IP interno e di un nome DNS. DHCP non è supportato.

                                                                                                                                                  • Maschera: immettere l'indirizzo della subnet mask in notazione dot decimale. ad esempio, 255.255.255.0.
                                                                                                                                                  • Gateway: immettere l'indirizzo IP del gateway. Un gateway è un nodo di rete che funge da punto di accesso a un'altra rete.
                                                                                                                                                  • Server DNS: immettere un elenco separato da virgole di server DNS, che gestiscono la traduzione dei nomi di dominio in indirizzi IP numerici. (Sono consentite fino a 4 voci DNS).
                                                                                                                                                  • Server NTP: inserire il server NTP della propria organizzazione o un altro server NTP esterno che può essere utilizzato nella propria organizzazione. I server NTP predefiniti potrebbero non funzionare per tutte le aziende. È inoltre possibile utilizzare un elenco separato da virgole per immettere più server NTP.
                                                                                                                                                  • Distribuire tutti i nodi sulla stessa subnet o VLAN, in modo che tutti i nodi in un cluster siano raggiungibili dai client nella rete per scopi amministrativi.

                                                                                                                                                  Se si preferisce, è possibile ignorare la configurazione delle impostazioni di rete e seguire la procedura riportata in Imposta la sicurezza dei dati ibridi VM per configurare le impostazioni dalla console del nodo.


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  11

                                                                                                                                                  Fare clic con il pulsante destro del mouse sulla VM del nodo, quindi scegliere Alimentazione > Accensione.

                                                                                                                                                  Il software di sicurezza dei dati ibridi è installato come ospite sull'host VM. A questo punto, è possibile accedere alla console e configurare il nodo.

                                                                                                                                                  Suggerimenti per la risoluzione dei problemi

                                                                                                                                                  È possibile che si verifichi un ritardo di alcuni minuti prima che i contenitori del nodo salgano. Un messaggio del firewall bridge viene visualizzato sulla console durante il primo avvio, durante il quale non è possibile accedere.

                                                                                                                                                  Impostazione della sicurezza dei dati ibridi VM

                                                                                                                                                  Utilizzare questa procedura per accedere per la prima volta alla console VM del nodo Hybrid Data Security e impostare le credenziali di accesso. È inoltre possibile utilizzare la console per configurare le impostazioni di rete per il nodo se non sono state configurate al momento della distribuzione OVA.

                                                                                                                                                  1

                                                                                                                                                  Nel client VMware vSphere, selezionare il nodo Hybrid Data Security VM e selezionare la scheda Console.

                                                                                                                                                  La VM si avvia e viene visualizzata una richiesta di accesso. Se il prompt di accesso non viene visualizzato, premere Invio.
                                                                                                                                                  2

                                                                                                                                                  Per accedere e modificare le credenziali, utilizzare le seguenti credenziali predefinite:

                                                                                                                                                  1. Login: admin

                                                                                                                                                  2. Password: cisco

                                                                                                                                                  Poiché si esegue l'accesso alla VM per la prima volta, è necessario modificare la password dell'amministratore.

                                                                                                                                                  3

                                                                                                                                                  Se sono già state configurate le impostazioni di rete in Install the HDS Host OVA, ignorare il resto di questa procedura. Altrimenti, nel menu principale, selezionare l'opzione Modifica configurazione.

                                                                                                                                                  4

                                                                                                                                                  Impostare una configurazione statica con indirizzo IP, maschera, gateway e informazioni DNS. Il nodo deve disporre di un indirizzo IP interno e di un nome DNS. DHCP non è supportato.

                                                                                                                                                  5

                                                                                                                                                  (Opzionale) Modificare il nome host, il dominio o i server NTP, se necessario per corrispondere ai criteri di rete.

                                                                                                                                                  Non è necessario impostare il dominio in base al dominio utilizzato per ottenere il certificato X.509.

                                                                                                                                                  6

                                                                                                                                                  Salvare la configurazione della rete e riavviare la VM in modo che le modifiche abbiano effetto.

                                                                                                                                                  Caricamento e montaggio della configurazione HDS ISO

                                                                                                                                                  Utilizzare questa procedura per configurare la macchina virtuale dal file ISO creato con lo strumento di impostazione HDS.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Poiché il file ISO contiene la chiave principale, deve essere esposto solo in base alla necessità di sapere, per l'accesso da parte delle VM di sicurezza dei dati ibridi e di qualsiasi amministratore che potrebbe aver bisogno di apportare modifiche. Accertarsi che solo gli amministratori possano accedere al datastore.

                                                                                                                                                  1

                                                                                                                                                  Caricare il file ISO dal computer:

                                                                                                                                                  1. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul server ESXi.

                                                                                                                                                  2. Nell'elenco hardware della scheda Configurazione, fare clic su Storage.

                                                                                                                                                  3. Nell'elenco dei datastore, fare clic con il pulsante destro del mouse sul datastore delle macchine virtuali e fare clic su Sfoglia datastore.

                                                                                                                                                  4. Fare clic sull’icona Carica file, quindi fare clic su Carica file.

                                                                                                                                                  5. Individuare la posizione in cui è stato scaricato il file ISO sul computer e fare clic su Apri.

                                                                                                                                                  6. Fare clic su per accettare l'avviso di caricamento/download e chiudere la finestra di dialogo del datastore.

                                                                                                                                                  2

                                                                                                                                                  Montare il file ISO:

                                                                                                                                                  1. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul pulsante destro del mouse sulla macchina virtuale, quindi fare clic su Modifica impostazioni.

                                                                                                                                                  2. Fare clic su OK per accettare l'avviso delle opzioni di modifica limitate.

                                                                                                                                                  3. Fare clic CD/DVD Drive 1, selezionare l'opzione per il montaggio da un file ISO datastore e passare alla posizione in cui è stato caricato il file ISO di configurazione.

                                                                                                                                                  4. Controllare Connesso e Connetti all'accensione.

                                                                                                                                                  5. Salvare le modifiche e riavviare la macchina virtuale.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Se i criteri IT lo richiedono, è possibile smontare opzionalmente il file ISO dopo che tutti i nodi rilevano le modifiche di configurazione. Per ulteriori informazioni, vedere (Opzionale) Smontaggio dell'ISO dopo la configurazione HDS.

                                                                                                                                                  Configurazione del nodo HDS per l'integrazione proxy

                                                                                                                                                  Se l'ambiente di rete richiede un proxy, utilizzare questa procedura per specificare il tipo di proxy che si desidera integrare con la sicurezza dei dati ibridi. Se si sceglie un proxy di ispezione trasparente o un proxy esplicito HTTPS, è possibile utilizzare l'interfaccia del nodo per caricare e installare il certificato radice. È inoltre possibile controllare la connessione del proxy dall'interfaccia e risolvere eventuali problemi.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  1

                                                                                                                                                  Inserisci l'URL di impostazione del nodo HDS https://[HDS Node IP or FQDN]/setup in un browser Web, immettere le credenziali di amministrazione impostate per il nodo, quindi fare clic su Accedi.

                                                                                                                                                  2

                                                                                                                                                  Vai su Trust Store & Proxy, quindi scegli un'opzione:

                                                                                                                                                  • Nessun proxy: opzione predefinita prima dell'integrazione di un proxy. Nessun aggiornamento del certificato richiesto.
                                                                                                                                                  • Proxy non ispezionato trasparente: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non devono richiedere modifiche per lavorare con un proxy non ispezionato. Nessun aggiornamento del certificato richiesto.
                                                                                                                                                  • Proxy con ispezione trasparente: i nodi non sono configurati per utilizzare un indirizzo del server proxy specifico. Nessuna modifica alla configurazione HTTPS è necessaria nella distribuzione di Hybrid Data Security; tuttavia, i nodi HDS necessitano di un certificato radice in modo che si fidino del proxy. Le deleghe di ispezione vengono solitamente utilizzate dal reparto IT per attuare politiche su cui i siti web possono essere visitati e su quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).
                                                                                                                                                  • Proxy esplicito: con il proxy esplicito, indicare al client (nodi HDS) quale server proxy utilizzare e questa opzione supporta diversi tipi di autenticazione. Una volta scelta questa opzione, è necessario immettere le seguenti informazioni:
                                                                                                                                                    1. IP/FQDN proxy: indirizzo che può essere utilizzato per raggiungere la macchina proxy.

                                                                                                                                                    2. Porta proxy: un numero di porta utilizzato dal proxy per ascoltare il traffico proxy.

                                                                                                                                                    3. Protocollo proxy: selezionare http (visualizza e controlla tutte le richieste ricevute dal client) o https (fornisce un canale al server e il client riceve e convalida il certificato del server). Scegliere un'opzione in base a quanto supportato dal server proxy.

                                                                                                                                                    4. Tipo di autenticazione: scegliere uno dei seguenti tipi di autenticazione:

                                                                                                                                                      • Nessuno: non è richiesta alcuna ulteriore autenticazione.

                                                                                                                                                        Disponibile per i proxy HTTP o HTTPS.

                                                                                                                                                      • Base: utilizzato per un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

                                                                                                                                                        Disponibile per i proxy HTTP o HTTPS.

                                                                                                                                                        Se si sceglie questa opzione, è necessario immettere anche il nome utente e la password.

                                                                                                                                                      • Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e la password prima dell'invio tramite la rete.

                                                                                                                                                        Disponibile solo per proxy HTTPS.

                                                                                                                                                        Se si sceglie questa opzione, è necessario immettere anche il nome utente e la password.

                                                                                                                                                  Seguire i passaggi successivi per un proxy di ispezione trasparente, un proxy esplicito HTTP con autenticazione di base o un proxy esplicito HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Fare clic su Carica un certificato radice o un certificato dell'entità finale, quindi selezionare il certificato radice per il proxy.

                                                                                                                                                  Il certificato viene caricato ma non ancora installato poiché è necessario riavviare il nodo per installare il certificato. Fare clic sulla freccia chevron accanto al nome dell'emittente del certificato per ottenere ulteriori dettagli oppure fare clic su Elimina se si è commesso un errore e si desidera ricaricare il file.

                                                                                                                                                  4

                                                                                                                                                  Fare clic su Verifica connessione proxy per verificare la connettività di rete tra il nodo e il proxy.

                                                                                                                                                  Se il test di connessione non riesce, viene visualizzato un messaggio di errore che mostra il motivo e come è possibile correggere il problema.

                                                                                                                                                  Se viene visualizzato un messaggio che indica che la risoluzione DNS esterna non è riuscita, il nodo non è stato in grado di raggiungere il server DNS. Questa condizione è prevista in molte configurazioni proxy esplicite. È possibile continuare con l'impostazione e il nodo funzionerà in modalità di risoluzione DNS esterna bloccata. Se si ritiene che si tratti di un errore, completare questa procedura, quindi vedere Disattivazione della modalità di risoluzione DNS esterna bloccata.

                                                                                                                                                  5

                                                                                                                                                  Una volta superato il test di connessione, per il proxy esplicito impostato solo su https, attivare il tasto di alternanza Indirizza tutte le richieste https della porta 443/444 da questo nodo attraverso il proxy esplicito. Questa impostazione richiede 15 secondi per avere effetto.

                                                                                                                                                  6

                                                                                                                                                  Fare clic su Installa tutti i certificati nell'archivio attendibilità (viene visualizzato per un proxy esplicito HTTPS o un proxy di ispezione trasparente) o su Riavvia (viene visualizzato per un proxy esplicito HTTP), leggere il prompt, quindi fare clic su Installa se si è pronti.

                                                                                                                                                  Il nodo si riavvia entro pochi minuti.

                                                                                                                                                  7

                                                                                                                                                  Una volta riavviato il nodo, eseguire di nuovo l'accesso, se necessario, quindi aprire la pagina Panoramica per controllare i controlli di connettività e assicurarsi che siano tutti in stato verde.

                                                                                                                                                  Il controllo della connessione proxy verifica solo un sottodominio di webex.com. Se si verificano problemi di connettività, un problema comune è che alcuni dei domini cloud elencati nelle istruzioni di installazione vengono bloccati sul proxy.

                                                                                                                                                  Registrazione del primo nodo nel cluster

                                                                                                                                                  Questa attività prende il nodo generico creato in Imposta VM di sicurezza dei dati ibridi, registra il nodo con il cloud Webex e lo trasforma in un nodo di sicurezza dei dati ibridi.

                                                                                                                                                  Quando registri il primo nodo, crei un cluster a cui è assegnato il nodo. Un cluster contiene uno o più nodi distribuiti per fornire ridondanza.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Una volta iniziata la registrazione di un nodo, è necessario completarlo entro 60 minuti o iniziare da capo.

                                                                                                                                                  • Accertarsi che eventuali blocchi popup nel browser siano disabilitati o che sia consentita un'eccezione per admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  Dal menu sul lato sinistro della schermata, selezionare Servizi.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Servizi ibridi, trovare Sicurezza dati ibridi e fare clic su Imposta.

                                                                                                                                                  Viene visualizzata la pagina Registra nodo sicurezza dati ibridi.
                                                                                                                                                  4

                                                                                                                                                  Seleziona per indicare che hai impostato il nodo e che sei pronto a registrarlo, quindi fai clic su Avanti.

                                                                                                                                                  5

                                                                                                                                                  Nel primo campo, immettere un nome per il cluster a cui si desidera assegnare il nodo di sicurezza dei dati ibridi.

                                                                                                                                                  Si consiglia di assegnare un nome a un cluster in base alla posizione geografica dei nodi del cluster. Esempi: "San Francisco" o "New York" o "Dallas"

                                                                                                                                                  6

                                                                                                                                                  Nel secondo campo, immettere l'indirizzo IP interno o il nome di dominio completo del nodo e fare clic su Avanti.

                                                                                                                                                  Questo indirizzo IP o FQDN deve corrispondere all'indirizzo IP o al nome host e al dominio utilizzati in Impostazione della VM di sicurezza dei dati ibridi.

                                                                                                                                                  Viene visualizzato un messaggio che indica che è possibile registrare il nodo su Webex.
                                                                                                                                                  7

                                                                                                                                                  Fare clic su Vai a nodo.

                                                                                                                                                  8

                                                                                                                                                  Fare clic su Continua nel messaggio di avviso.

                                                                                                                                                  Dopo alcuni istanti, si viene reindirizzati ai test di connettività del nodo per i servizi Webex. Se tutti i test vengono eseguiti correttamente, viene visualizzata la pagina Consenti accesso al nodo di sicurezza dei dati ibridi. Qui, confermi di voler concedere le autorizzazioni alla tua organizzazione Webex per accedere al nodo.
                                                                                                                                                  9

                                                                                                                                                  Selezionare la casella di controllo Consenti accesso al nodo di sicurezza dei dati ibridi, quindi fare clic su Continua.

                                                                                                                                                  L'account viene convalidato e il messaggio "Registrazione completa" indica che il nodo è ora registrato nel cloud Webex.
                                                                                                                                                  10

                                                                                                                                                  Fare clic sul collegamento o chiudere la scheda per tornare alla pagina Sicurezza dei dati ibridi di Control Hub.

                                                                                                                                                  Nella pagina Sicurezza dati ibridi, viene visualizzato il nuovo cluster contenente il nodo registrato. Il nodo scaricherà automaticamente l'ultimo software dal cloud.

                                                                                                                                                  Creazione e registrazione di altri nodi

                                                                                                                                                  Per aggiungere altri nodi al cluster, è sufficiente creare ulteriori VM e montare lo stesso file ISO di configurazione, quindi registrare il nodo. Si consiglia di avere almeno 3 nodi.

                                                                                                                                                   

                                                                                                                                                  In questo momento, le VM di backup create in Completa i prerequisiti per la sicurezza dei dati ibridi sono host standby utilizzati solo in caso di ripristino di emergenza; fino a quel momento non sono registrati nel sistema. Per informazioni dettagliate, vedere Ripristino di emergenza utilizzando il centro dati standby.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Una volta iniziata la registrazione di un nodo, è necessario completarlo entro 60 minuti o iniziare da capo.

                                                                                                                                                  • Accertarsi che eventuali blocchi popup nel browser siano disabilitati o che sia consentita un'eccezione per admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Creare una nuova macchina virtuale dal file OVA, ripetendo le operazioni descritte in Installazione del file OVA host HDS.

                                                                                                                                                  2

                                                                                                                                                  Impostare la configurazione iniziale sulla nuova VM, ripetendo i passaggi in Imposta la sicurezza dei dati ibridi VM.

                                                                                                                                                  3

                                                                                                                                                  Nella nuova VM, ripetere le operazioni riportate in Upload and Mount the HDS Configuration ISO.

                                                                                                                                                  4

                                                                                                                                                  Se si sta impostando un proxy per la distribuzione, ripetere i passaggi in Configura il nodo HDS per l'integrazione proxy come necessario per il nuovo nodo.

                                                                                                                                                  5

                                                                                                                                                  Registrare il nodo.

                                                                                                                                                  1. In https://admin.webex.com, selezionare Servizi dal menu sul lato sinistro dello schermo.

                                                                                                                                                  2. Nella sezione Hybrid Services (Servizi ibridi), trovare la scheda Hybrid Data Security (Sicurezza dati ibridi) e fare clic su Resources (Risorse).

                                                                                                                                                    Viene visualizzata la pagina Risorse sicurezza dati ibridi.
                                                                                                                                                  3. Fare clic su Aggiungi risorsa.

                                                                                                                                                  4. Nel primo campo, selezionare il nome del cluster esistente.

                                                                                                                                                  5. Nel secondo campo, immettere l'indirizzo IP interno o il nome di dominio completo del nodo e fare clic su Avanti.

                                                                                                                                                    Viene visualizzato un messaggio che indica che è possibile registrare il nodo sul cloud Webex.
                                                                                                                                                  6. Fare clic su Vai a nodo.

                                                                                                                                                    Dopo alcuni istanti, si viene reindirizzati ai test di connettività del nodo per i servizi Webex. Se tutti i test vengono eseguiti correttamente, viene visualizzata la pagina Consenti accesso al nodo di sicurezza dei dati ibridi. Qui, confermi di voler concedere le autorizzazioni alla tua organizzazione per accedere al tuo nodo.
                                                                                                                                                  7. Selezionare la casella di controllo Consenti accesso al nodo di sicurezza dei dati ibridi, quindi fare clic su Continua.

                                                                                                                                                    L'account viene convalidato e il messaggio "Registrazione completa" indica che il nodo è ora registrato nel cloud Webex.
                                                                                                                                                  8. Fare clic sul collegamento o chiudere la scheda per tornare alla pagina Sicurezza dei dati ibridi di Control Hub.

                                                                                                                                                  Il nodo è registrato. Tenere presente che fino all'avvio di una versione di prova, i nodi generano un allarme a indicare che il servizio non è ancora attivato.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Eseguire una versione di prova e passare alla produzione (capitolo successivo)
                                                                                                                                                  Eseguire una versione di prova e passare alla produzione

                                                                                                                                                  Flusso attività da prova a produzione

                                                                                                                                                  Dopo aver impostato un cluster di sicurezza dei dati ibridi, è possibile avviare un pilota, aggiungere utenti e iniziare a utilizzarlo per testare e verificare la distribuzione in preparazione del passaggio alla produzione.

                                                                                                                                                  1

                                                                                                                                                  Se applicabile, sincronizzare il HdsTrialGroup oggetto di gruppo.

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche per gli utenti, è necessario selezionare HdsTrialGroup raggruppa l'oggetto per la sincronizzazione al cloud prima di avviare una versione di prova. Per istruzioni, consultare la Guida alla distribuzione di Connettore directory Cisco.

                                                                                                                                                  2

                                                                                                                                                  Attiva versione di prova

                                                                                                                                                  Avviare una prova. Fino a quando non si esegue questa attività, i nodi generano un allarme che indica che il servizio non è ancora attivato.

                                                                                                                                                  3

                                                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Verificare che le richieste chiave passino alla distribuzione di Hybrid Data Security.

                                                                                                                                                  4

                                                                                                                                                  Monitoraggio della salute della sicurezza dei dati ibridi

                                                                                                                                                  Controllare lo stato e impostare notifiche e-mail per gli allarmi.

                                                                                                                                                  5

                                                                                                                                                  Aggiunta o rimozione di utenti dalla versione di prova

                                                                                                                                                  6

                                                                                                                                                  Completare la fase trial con una delle seguenti azioni:

                                                                                                                                                  Attiva versione di prova

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche per gli utenti, è necessario selezionare HdsTrialGroup raggruppa l'oggetto per la sincronizzazione al cloud prima di poter avviare una versione di prova per la propria organizzazione. Per istruzioni, consultare la Guida alla distribuzione di Connettore directory Cisco.

                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com, quindi selezionare Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Stato servizio, fare clic su Avvia versione di prova.

                                                                                                                                                  Lo stato del servizio cambia in modalità di prova.
                                                                                                                                                  4

                                                                                                                                                  Fai clic su Aggiungi utenti e inserisci l'indirizzo e-mail di uno o più utenti da pilotare utilizzando i nodi Hybrid Data Security per crittografare e indicizzare i servizi.

                                                                                                                                                  (Se la propria organizzazione utilizza la sincronizzazione delle rubriche, utilizzare Active Directory per gestire il gruppo di prova, HdsTrialGroup.)

                                                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare questa procedura per testare gli scenari di crittografia della sicurezza dei dati ibridi.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Impostare la distribuzione di sicurezza dei dati ibridi.

                                                                                                                                                  • Attivare la versione di prova e aggiungere diversi utenti di prova.

                                                                                                                                                  • Assicurarsi di avere accesso al registro di sistema per verificare che le richieste chiave vengano trasferite alla distribuzione di Hybrid Data Security.

                                                                                                                                                  1

                                                                                                                                                  Le chiavi per un determinato spazio sono impostate dal creatore dello spazio. Accedi all'app Webex come uno degli utenti pilota, quindi crea uno spazio e invita almeno un utente pilota e un utente non pilota.


                                                                                                                                                   

                                                                                                                                                  Se si disattiva la distribuzione di sicurezza dei dati ibridi, il contenuto negli spazi creati dagli utenti pilota non sarà più accessibile una volta sostituite le copie memorizzate nella cache del client delle chiavi di crittografia.

                                                                                                                                                  2

                                                                                                                                                  Invia messaggi al nuovo spazio.

                                                                                                                                                  3

                                                                                                                                                  Selezionare l'output syslog per verificare che le richieste chiave passino alla distribuzione di Hybrid Data Security.

                                                                                                                                                  1. Per verificare se un utente stabilisce prima un canale sicuro per il KMS, filtrare su kms.data.method=create e kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Si dovrebbe trovare una voce come quella che segue (identificativi più brevi per la leggibilità):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Per verificare la presenza di un utente che richiede una chiave esistente da KMS, filtrare su kms.data.method=retrieve e kms.data.type=KEY:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Per verificare la presenza di un utente che richiede la creazione di una nuova chiave KMS, filtrare su kms.data.method=create e kms.data.type=KEY_COLLECTION:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Per verificare la presenza di un utente che richiede la creazione di un nuovo oggetto risorse KMS (KRO) quando viene creato uno spazio o un'altra risorsa protetta, filtrare su kms.data.method=create e kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitoraggio della salute della sicurezza dei dati ibridi

                                                                                                                                                  Un indicatore di stato all'interno di Control Hub mostra se tutto funziona correttamente con la distribuzione di Hybrid Data Security. Per avvisi più proattivi, iscriviti per le notifiche e-mail. Verrai informato quando sono presenti allarmi con impatto sul servizio o aggiornamenti software.
                                                                                                                                                  1

                                                                                                                                                  In Control Hub, seleziona Servizi dal menu sul lato sinistro dello schermo.

                                                                                                                                                  2

                                                                                                                                                  Nella sezione Hybrid Services (Servizi ibridi), trovare Hybrid Data Security (Sicurezza dati ibridi) e fare clic su Settings (Impostazioni).

                                                                                                                                                  Viene visualizzata la pagina Impostazioni sicurezza dati ibridi.
                                                                                                                                                  3

                                                                                                                                                  Nella sezione Notifiche e-mail, digitare uno o più indirizzi e-mail separati da virgole e premere Invio.

                                                                                                                                                  Aggiunta o rimozione di utenti dalla versione di prova

                                                                                                                                                  Una volta attivata una versione di prova e aggiunto il set iniziale di utenti della versione di prova, è possibile aggiungere o rimuovere i membri della versione di prova in qualsiasi momento mentre la versione di prova è attiva.

                                                                                                                                                  Se si rimuove un utente dalla versione di prova, il client dell'utente richiederà le chiavi e la creazione delle chiavi dal KMS cloud anziché dal KMS. Se il client ha bisogno di una chiave memorizzata sul tuo KMS, il KMS cloud la recupererà per conto dell'utente.

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche, utilizzare Active Directory (anziché questa procedura) per gestire il gruppo di prova, HdsTrialGroup; puoi visualizzare i membri del gruppo in Control Hub ma non puoi aggiungerli o rimuoverli.

                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Modalità di prova dell'area Stato servizio, fare clic su Aggiungi utenti oppure fare clic su Visualizza e modifica per rimuovere gli utenti dalla versione di prova.

                                                                                                                                                  4

                                                                                                                                                  Inserire l'indirizzo e-mail di uno o più utenti da aggiungere o fare clic sulla X da parte di un ID utente per rimuovere l'utente dalla versione di prova. Quindi fare clic Salva .

                                                                                                                                                  Passa da versione di prova a produzione

                                                                                                                                                  Quando si è soddisfatti che la distribuzione funzioni correttamente per gli utenti di prova, è possibile passare alla produzione. Quando si passa alla produzione, tutti gli utenti nell'organizzazione utilizzeranno il dominio di sicurezza dei dati ibridi locale per le chiavi di crittografia e altri servizi di area di sicurezza. Non è possibile tornare alla modalità di prova dalla produzione a meno che non si disattivi il servizio come parte del ripristino di emergenza. La riattivazione del servizio richiede l'impostazione di una nuova prova.
                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Service Status (Stato servizio) fare clic su Move to Production (Passa a produzione).

                                                                                                                                                  4

                                                                                                                                                  Confermare che si desidera spostare tutti gli utenti in produzione.

                                                                                                                                                  Terminare la prova senza passare alla produzione

                                                                                                                                                  Se, durante la versione di prova, si decide di non procedere con la distribuzione di Hybrid Data Security, è possibile disattivare Hybrid Data Security, che termina la versione di prova e trasferisce gli utenti di prova ai servizi di sicurezza dei dati su cloud. Gli utenti dello studio perderanno l'accesso ai dati crittografati durante lo studio.
                                                                                                                                                  1

                                                                                                                                                  Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Disattiva fare clic su Disattiva.

                                                                                                                                                  4

                                                                                                                                                  Confermare che si desidera disattivare il servizio e terminare la prova.

                                                                                                                                                  Gestione della distribuzione HDS

                                                                                                                                                  Gestione della distribuzione HDS

                                                                                                                                                  Utilizzare le attività descritte qui per gestire la distribuzione di Hybrid Data Security.

                                                                                                                                                  Imposta pianificazione aggiornamento cluster

                                                                                                                                                  Gli aggiornamenti software per la sicurezza dei dati ibridi vengono eseguiti automaticamente a livello di cluster, per garantire che tutti i nodi utilizzino sempre la stessa versione del software. Gli aggiornamenti vengono eseguiti in base alla pianificazione di aggiornamento per il cluster. Quando un aggiornamento software diventa disponibile, è possibile eseguire manualmente l'aggiornamento del cluster prima dell'ora di aggiornamento pianificata. È possibile impostare una pianificazione di aggiornamento specifica o utilizzare la pianificazione predefinita delle 3:00 AM Daily Stati Uniti: America/Los Angeles. È anche possibile scegliere di posticipare un aggiornamento futuro, se necessario.

                                                                                                                                                  Per impostare la pianificazione di aggiornamento:

                                                                                                                                                  1

                                                                                                                                                  Accedere a Control Hub.

                                                                                                                                                  2

                                                                                                                                                  Nella pagina Panoramica, in Servizi ibridi, selezionare Sicurezza dati ibridi.

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Risorse sicurezza dati ibridi, selezionare il cluster.

                                                                                                                                                  4

                                                                                                                                                  Nel pannello Panoramica a destra, in Impostazioni cluster, selezionare il nome del cluster.

                                                                                                                                                  5

                                                                                                                                                  Nella pagina Impostazioni, in Aggiorna, selezionare l'ora e il fuso orario per la pianificazione dell'aggiornamento.

                                                                                                                                                  Nota: Sotto il fuso orario, viene visualizzata la successiva data e ora di aggiornamento disponibili. È possibile posticipare l'aggiornamento al giorno successivo, se necessario, facendo clic su Posponi.

                                                                                                                                                  Modifica della configurazione del nodo

                                                                                                                                                  Occasionalmente potrebbe essere necessario modificare la configurazione del nodo Sicurezza dati ibridi per motivi quali:
                                                                                                                                                  • Modifica dei certificati x.509 a causa di una scadenza o altri motivi.


                                                                                                                                                     

                                                                                                                                                    Non è supportata la modifica del nome dominio CN di un certificato. Il dominio deve corrispondere al dominio originale utilizzato per registrare il cluster.

                                                                                                                                                  • Aggiornamento delle impostazioni del database da modificare in una replica del database PostgreSQL o Microsoft SQL Server.


                                                                                                                                                     

                                                                                                                                                    Non è supportata la migrazione dei dati da PostgreSQL a Microsoft SQL Server o viceversa. Per cambiare l'ambiente di database, avviare una nuova distribuzione di Sicurezza dei dati ibridi.

                                                                                                                                                  • Creazione di una nuova configurazione per preparare un nuovo centro dati.

                                                                                                                                                  Per motivi di sicurezza, la sicurezza dei dati ibridi utilizza password di account di servizio della durata di 9 mesi. Lo strumento di impostazione HDS genera queste password e occorre distribuirle a ciascuno dei nodi HDS come parte del file ISO di configurazione. Se le password della propria organizzazione sono prossime alla scadenza, si riceverà un avviso di scadenza password dal team Webex, in cui verrà richiesto di reimpostare la password per l'account macchina. (Il messaggio e-mail include il testo "Utilizzare l' API dell'account macchina per aggiornare la password".) Se le password non sono ancora scadute, lo strumento offre due opzioni:

                                                                                                                                                  • Ripristino graduale —La password vecchia e nuova funzionano entrambe per 10 giorni. Utilizzare questo punto per sostituire gradualmente il file ISO sui nodi.

                                                                                                                                                  • Ripristino hardware —Le password precedenti smettono immediatamente di funzionare.

                                                                                                                                                  Se le password scadono senza una reimpostazione, ciò ha un impatto sul servizio HDS, che richiede un ripristino hardware immediato e la sostituzione del file ISO su tutti i nodi.

                                                                                                                                                  Utilizzare questa procedura per generare un nuovo file ISO di configurazione e applicarlo al cluster.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Lo strumento di impostazione HDS viene eseguito come contenitore Docker su una macchina locale. Per accedervi, eseguire Docker su tale macchina. Il processo di impostazione richiede le credenziali di un account Control Hub con diritti di amministratore completi per l'organizzazione.

                                                                                                                                                    Se lo strumento di impostazione HDS viene eseguito dietro un proxy nel proprio ambiente, fornire le impostazioni del proxy (server, porta, credenziali) attraverso le variabili di ambiente Docker quando si solleva il contenitore Docker in 1.e. Questa tabella fornisce alcune possibili variabili di ambiente:

                                                                                                                                                    Descrizione

                                                                                                                                                    Variabile

                                                                                                                                                    proxy HTTP senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    proxy HTTP con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • È necessaria una copia del file ISO di configurazione corrente per generare una nuova configurazione. L'ISO contiene la chiave principale che crittografa il database PostgreSQL o Microsoft SQL Server. È necessario ISO quando si apportano modifiche alla configurazione, incluse credenziali del database, aggiornamenti dei certificati o modifiche ai criteri di autorizzazione.

                                                                                                                                                  1

                                                                                                                                                  Utilizzando il Docker su una macchina locale, eseguire lo strumento di impostazione HDS.

                                                                                                                                                  1. Nella riga di comando della macchina, immettere il comando appropriato per l'ambiente:

                                                                                                                                                    In ambienti normali:

                                                                                                                                                    docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                    In ambienti FedRAMP:

                                                                                                                                                    docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Questo passaggio ripulisce le immagini precedenti dello strumento di impostazione HDS. Se non sono presenti immagini precedenti, viene restituito un errore che può essere ignorato.

                                                                                                                                                  2. Per accedere al registro immagini Docker, immettere quanto segue:

                                                                                                                                                    docker login -u hdscustomersro
                                                                                                                                                  3. Alla richiesta della password, immettere questo hash:

                                                                                                                                                    dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4. Scaricare l'immagine stabile più recente per il proprio ambiente:

                                                                                                                                                    In ambienti normali:

                                                                                                                                                    docker pull ciscocitg/hds-setup:stable

                                                                                                                                                    In ambienti FedRAMP:

                                                                                                                                                    docker pull ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                     

                                                                                                                                                    Accertarsi di eseguire il pull dello strumento di impostazione più recente per questa procedura. Le versioni dello strumento create prima del 22 febbraio 2018 non dispongono di schermate di reimpostazione della password.

                                                                                                                                                  5. Al termine del pull, immettere il comando appropriato per l'ambiente:

                                                                                                                                                    • In ambienti normali senza proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti normali con un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti normali con un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                    • In ambienti FedRAMP senza proxy:

                                                                                                                                                      docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • In ambienti FedRAMP con un proxy HTTP:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                    • In ambienti FedRAMP con un proxy HTTPS:

                                                                                                                                                      docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                    Quando il contenitore è in esecuzione, viene visualizzato il messaggio "server Express in attesa sulla porta 8080".

                                                                                                                                                  6. Utilizzare un browser per connettersi a localhost, http://127.0.0.1:8080.


                                                                                                                                                     

                                                                                                                                                    Lo strumento Imposta non supporta la connessione a localhost tramite http://localhost:8080. Usa http://127.0.0.1:8080 per connetterti a localhost.

                                                                                                                                                  7. Quando richiesto, immettere le credenziali di accesso del cliente , quindi fare clic su Accetta per continuare.

                                                                                                                                                  8. Importare il file ISO di configurazione corrente.

                                                                                                                                                  9. Seguire le indicazioni per completare lo strumento e scaricare il file aggiornato.

                                                                                                                                                    Per chiudere lo strumento di installazione, digitare CTRL+C.

                                                                                                                                                  10. Creare una copia di backup del file aggiornato in un altro centro dati.

                                                                                                                                                  2

                                                                                                                                                  Se si dispone di un solo nodo HDS in esecuzione, creare un nuovo nodo VM e registrarlo utilizzando il nuovo file ISO di configurazione. Per istruzioni più dettagliate, vedere Creazione e registrazione di più nodi.

                                                                                                                                                  1. Installare il file OVA dell'host HDS.

                                                                                                                                                  2. Impostare la macchina virtuale HDS.

                                                                                                                                                  3. Montare il file di configurazione aggiornato.

                                                                                                                                                  4. Registrare il nuovo nodo in Control Hub.

                                                                                                                                                  3

                                                                                                                                                  Per i nodi HDS esistenti che eseguono il file di configurazione precedente , montare il file ISO . Completare la procedura seguente su ciascun nodo alla volta, aggiornando ciascun nodo prima di spegnere il nodo successivo:

                                                                                                                                                  1. Disattivare la macchina virtuale.

                                                                                                                                                  2. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul pulsante destro del mouse sulla macchina virtuale, quindi fare clic su Modifica impostazioni.

                                                                                                                                                  3. Fare clic CD/DVD Drive 1 Fare clic su Unità CD/DVD 1, selezionare l'opzione per il montaggio di un file ISO e selezionare la posizione in cui è stato scaricato il nuovo file di configurazione ISO.

                                                                                                                                                  4. Selezionare Connetti all'accensione.

                                                                                                                                                  5. Salvare le modifiche e accendere la macchina virtuale.

                                                                                                                                                  4

                                                                                                                                                  Ripetere il punto 3 per sostituire la configurazione su ciascun nodo restante in cui sia in esecuzione la configurazione precedente.

                                                                                                                                                  Disattivazione della modalità di risoluzione DNS esterna bloccata

                                                                                                                                                  Quando si registra un nodo o si controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud Cisco Webex. Se il server DNS del nodo non riesce a risolvere i nomi DNS pubblici, il nodo passa automaticamente in modalità di risoluzione DNS esterna bloccata.

                                                                                                                                                  Se i nodi sono in grado di risolvere i nomi DNS pubblici tramite server DNS interni, è possibile disattivare questa modalità eseguendo nuovamente il test di connessione proxy su ciascun nodo.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Assicurarsi che i server DNS interni possano risolvere i nomi DNS pubblici e che i nodi possano comunicare con essi.
                                                                                                                                                  1

                                                                                                                                                  In un browser Web, aprire l'interfaccia del nodo di sicurezza dei dati ibridi (indirizzo IP/impostazione, ad esempio, https://192.0.2.0/setup), immettere le credenziali di amministrazione impostate per il nodo, quindi fare clic su Accedi.

                                                                                                                                                  2

                                                                                                                                                  Andare a Overview (pagina predefinita).

                                                                                                                                                  Quando abilitata, Risoluzione DNS esterno bloccato è impostato su .

                                                                                                                                                  3

                                                                                                                                                  Andare alla pagina Archivio attendibilità e proxy.

                                                                                                                                                  4

                                                                                                                                                  Fare clic su Verifica connessione proxy.

                                                                                                                                                  Se viene visualizzato un messaggio che indica che la risoluzione DNS esterna non è riuscita, il nodo non è stato in grado di raggiungere il server DNS e rimarrà in questa modalità. Altrimenti, dopo aver riavviato il nodo e tornare alla pagina Panoramica, la risoluzione DNS esterna bloccata deve essere impostata su No.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Ripetere il test di connessione proxy su ciascun nodo nel cluster di sicurezza dei dati ibridi.

                                                                                                                                                  Rimozione di un nodo

                                                                                                                                                  Utilizzare questa procedura per rimuovere un nodo di sicurezza dei dati ibridi dal cloud Webex. Dopo aver rimosso il nodo dal cluster, eliminare la macchina virtuale per impedire un ulteriore accesso ai dati di sicurezza.
                                                                                                                                                  1

                                                                                                                                                  Utilizzare il client VMware vSphere sul computer per accedere all'host virtuale ESXi e spegnere la macchina virtuale.

                                                                                                                                                  2

                                                                                                                                                  Rimuovi il nodo:

                                                                                                                                                  1. Accedi a Control Hub, quindi seleziona Servizi.

                                                                                                                                                  2. Nella scheda Sicurezza dati ibridi, fare clic su Visualizza tutto per visualizzare la pagina Risorse sicurezza dati ibridi.

                                                                                                                                                  3. Selezionare il cluster per visualizzarne il pannello Panoramica.

                                                                                                                                                  4. Fare clic su Apri elenco nodi.

                                                                                                                                                  5. Nella scheda Nodi, selezionare il nodo che si desidera rimuovere.

                                                                                                                                                  6. Fare clic su Azioni > Annulla registrazione nodo.

                                                                                                                                                  3

                                                                                                                                                  Nel client vSphere, eliminare la VM (nel riquadro di navigazione a sinistra, fare clic con il pulsante destro del mouse sulla VM e fare clic su Elimina).

                                                                                                                                                  Se non si elimina la VM, ricordarsi di smontare il file ISO di configurazione. Senza il file ISO, non è possibile utilizzare la VM per accedere ai dati di sicurezza.

                                                                                                                                                  Ripristino di emergenza tramite centro dati standby

                                                                                                                                                  Il servizio più critico fornito dal cluster di sicurezza dei dati ibridi è la creazione e la memorizzazione di chiavi utilizzate per crittografare i messaggi e altri contenuti memorizzati nel cloud Webex. Per ogni utente all'interno dell'organizzazione assegnato alla sicurezza dei dati ibridi, le nuove richieste di creazione di chiavi vengono indirizzate al cluster. Il cluster è anche responsabile di restituire le chiavi create agli utenti autorizzati a recuperarle, ad esempio, i membri di uno spazio di conversazione.

                                                                                                                                                  Poiché il cluster svolge la funzione critica di fornire queste chiavi, è imperativo che il cluster rimanga in esecuzione e che vengano mantenuti i backup appropriati. La perdita del database di sicurezza dei dati ibridi o della configurazione ISO utilizzata per lo schema comporterà una PERDITA IRRECUPERABILE del contenuto del cliente. Per evitare tale perdita sono obbligatorie le seguenti pratiche:

                                                                                                                                                  Se una catastrofe causa l'indisponibilità della distribuzione HDS nel centro dati principale, seguire questa procedura per il failover manuale al centro dati standby.

                                                                                                                                                  1

                                                                                                                                                  Avviare lo strumento di impostazione HDS e seguire la procedura indicata in Crea una configurazione ISO per gli host HDS.

                                                                                                                                                  2

                                                                                                                                                  Dopo aver configurato il server Syslogd, fare clic su Impostazioni avanzate

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Impostazioni avanzate, aggiungere la configurazione seguente o rimuovere il passiveMode configurazione per rendere attivo il nodo. Il nodo può gestire il traffico una volta configurato.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'false'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completa il processo di configurazione e salva il file ISO in una posizione facile da trovare.

                                                                                                                                                  5

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale. Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  6

                                                                                                                                                  Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic con il pulsante destro del mouse sulla VM e fare clic su Modifica impostazioni.

                                                                                                                                                  7

                                                                                                                                                  Fare clic su Modifica impostazioni >Unità CD/DVD 1 e selezionare Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Accertarsi che Connected e Connect all'accensione siano controllati in modo che le modifiche di configurazione aggiornate possano avere effetto dopo l'avvio dei nodi.

                                                                                                                                                  8

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 15 minuti.

                                                                                                                                                  9

                                                                                                                                                  Ripetere la procedura per ogni nodo nel centro dati standby.


                                                                                                                                                   

                                                                                                                                                  Controllare l'output syslog per verificare che i nodi del centro dati standby non siano in modalità passiva. “KMS configurato in modalità passiva” non deve apparire nei syslogs.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Dopo il failover, se il centro dati principale diventa nuovamente attivo, posizionare nuovamente il centro dati standby in modalità passiva seguendo la procedura descritta in Imposta centro dati standby per ripristino di emergenza.

                                                                                                                                                  (Opzionale) Smontaggio ISO dopo configurazione HDS

                                                                                                                                                  La configurazione HDS standard viene eseguita con l'ISO montato. Tuttavia, alcuni clienti preferiscono non lasciare i file ISO montati continuamente. È possibile smontare il file ISO dopo che tutti i nodi HDS hanno rilevato la nuova configurazione.

                                                                                                                                                  Si utilizzano ancora i file ISO per apportare modifiche alla configurazione. Quando si crea un nuovo ISO o si aggiorna un ISO tramite lo strumento di impostazione, è necessario montare l'ISO aggiornato su tutti i nodi HDS. Una volta che tutti i nodi hanno rilevato le modifiche alla configurazione, è possibile smontare nuovamente l'ISO con questa procedura.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Eseguire l'aggiornamento di tutti i nodi HDS alla versione 2021.01.22.4720 o successiva.

                                                                                                                                                  1

                                                                                                                                                  Chiudere uno dei nodi HDS.

                                                                                                                                                  2

                                                                                                                                                  Nella vCenter Server Appliance, selezionare il nodo HDS.

                                                                                                                                                  3

                                                                                                                                                  Scegli Modifica impostazioni > unità CD/DVD e deseleziona Datastore ISO File.

                                                                                                                                                  4

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 20 minuti.

                                                                                                                                                  5

                                                                                                                                                  Ripetere per ciascun nodo HDS a sua volta.

                                                                                                                                                  Risoluzione dei problemi di sicurezza dei dati ibridi

                                                                                                                                                  Visualizzazione di avvisi e risoluzione dei problemi

                                                                                                                                                  Una distribuzione di sicurezza dei dati ibridi viene considerata non disponibile se tutti i nodi nel cluster sono irraggiungibili o se il cluster funziona così lentamente da richiedere un timeout. Se gli utenti non riescono a raggiungere il cluster di sicurezza dei dati ibridi, avvertono i seguenti sintomi:

                                                                                                                                                  • Impossibile creare nuovi spazi (impossibile creare nuove chiavi)

                                                                                                                                                  • I titoli dei messaggi e dello spazio non vengono decrittografati per:

                                                                                                                                                    • Nuovi utenti aggiunti a uno spazio (impossibile recuperare i tasti)

                                                                                                                                                    • Utenti esistenti in uno spazio che utilizzano un nuovo client (impossibile recuperare le chiavi)

                                                                                                                                                  • Gli utenti esistenti in uno spazio continueranno a funzionare correttamente fino a quando i relativi client dispongono di una cache delle chiavi di crittografia

                                                                                                                                                  È importante monitorare correttamente il cluster di sicurezza dei dati ibridi e indirizzare tempestivamente eventuali avvisi per evitare l'interruzione del servizio.

                                                                                                                                                  Avvisi

                                                                                                                                                  Se si verifica un problema con l'impostazione della sicurezza dei dati ibridi, Control Hub visualizza gli avvisi all'amministratore dell'organizzazione e invia messaggi e-mail all'indirizzo e-mail configurato. Gli avvisi coprono molti scenari comuni.

                                                                                                                                                  Tabella 1. Problemi comuni e le fasi per risolverli

                                                                                                                                                  Avviso

                                                                                                                                                  Azione

                                                                                                                                                  Errore di accesso al database locale.

                                                                                                                                                  Verificare la presenza di errori nel database o problemi di rete locale.

                                                                                                                                                  Errore di connessione al database locale.

                                                                                                                                                  Verificare che il server del database sia disponibile e che le credenziali dell'account di servizio corretto siano state utilizzate nella configurazione del nodo.

                                                                                                                                                  Errore di accesso al servizio cloud.

                                                                                                                                                  Verificare che i nodi possano accedere ai server Webex come specificato nei requisiti di connettività esterna.

                                                                                                                                                  Rinnovo della registrazione del servizio cloud.

                                                                                                                                                  La registrazione ai servizi cloud è stata interrotta. Rinnovo registrazione in corso.

                                                                                                                                                  Registrazione servizio cloud interrotta.

                                                                                                                                                  La registrazione ai servizi cloud è terminata. Il servizio è in fase di arresto.

                                                                                                                                                  Servizio non ancora attivato.

                                                                                                                                                  Attivare una versione di prova o terminare lo spostamento della versione di prova in produzione.

                                                                                                                                                  Il dominio configurato non corrisponde al certificato del server.

                                                                                                                                                  Assicurarsi che il certificato del server corrisponda al dominio di attivazione del servizio configurato.

                                                                                                                                                  La causa più probabile è che il certificato CN è stato modificato di recente ed è ora diverso dal certificato CN utilizzato durante la configurazione iniziale.

                                                                                                                                                  Impossibile eseguire l'autenticazione ai servizi cloud.

                                                                                                                                                  Verificare l'accuratezza e la possibile scadenza delle credenziali dell'account servizio.

                                                                                                                                                  Impossibile aprire il file del keystore locale.

                                                                                                                                                  Verificare l'integrità e l'accuratezza della password nel file del keystore locale.

                                                                                                                                                  Certificato del server locale non valido.

                                                                                                                                                  Controllare la data di scadenza del certificato del server e verificare che sia stato rilasciato da un'autorità di certificazione attendibile.

                                                                                                                                                  Impossibile pubblicare le metriche.

                                                                                                                                                  Controllare l'accesso alla rete locale ai servizi cloud esterni.

                                                                                                                                                  La directory /media/configdrive/hds non esiste.

                                                                                                                                                  Controllare la configurazione del montaggio ISO sull'host virtuale. Verificare che il file ISO esista, che sia configurato per il montaggio sul riavvio e che venga montato correttamente.

                                                                                                                                                  Risoluzione dei problemi di sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare le seguenti linee guida generali per la risoluzione dei problemi relativi alla sicurezza dei dati ibridi.
                                                                                                                                                  1

                                                                                                                                                  Esamina Control Hub per eventuali avvisi e correggi eventuali elementi che trovi.

                                                                                                                                                  2

                                                                                                                                                  Rivedere l'output del server syslog per l'attività dalla distribuzione di Hybrid Data Security.

                                                                                                                                                  3

                                                                                                                                                  Contatta il supporto Cisco.

                                                                                                                                                  Altre note

                                                                                                                                                  Problemi noti per la sicurezza dei dati ibridi

                                                                                                                                                  • Se si arresta il cluster di sicurezza dei dati ibridi (eliminandolo in Control Hub o chiudendo tutti i nodi), si perde il file ISO di configurazione o si perde l'accesso al database del keystore, gli utenti dell'app Webex non possono più utilizzare gli spazi sotto il relativo elenco di persone creati con i tasti del KMS. Ciò si applica sia alle distribuzioni di prova che di produzione. Attualmente non abbiamo una soluzione o una soluzione per questo problema e ti invitiamo a non chiudere i tuoi servizi HDS una volta che stanno gestendo account utente attivi.

                                                                                                                                                  • Un client che dispone di una connessione ECDH esistente a un KMS mantiene tale connessione per un periodo di tempo (probabilmente un'ora). Quando un utente diventa membro di una versione di prova di sicurezza dei dati ibridi, il client dell'utente continua a utilizzare la connessione ECDH esistente fino a quando non si spegne. In alternativa, l'utente può disconnettersi e accedere nuovamente all'app Webex per aggiornare la posizione che l'app contatta per le chiavi di crittografia.

                                                                                                                                                    Lo stesso comportamento si verifica quando si sposta una versione di prova in produzione per l'organizzazione. Tutti gli utenti senza prova con connessioni ECDH esistenti ai precedenti servizi di sicurezza dei dati continueranno a utilizzare tali servizi fino alla rinegoziazione della connessione ECDH (attraverso timeout o attraverso la disconnessione e il back-in).

                                                                                                                                                  Uso di OpenSSL per generare un file PKCS12

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • OpenSSL è uno strumento che può essere utilizzato per rendere il file PKCS12 nel formato appropriato per il caricamento nello strumento di impostazione HDS. Ci sono altri modi per farlo, e non sosteniamo né promuoviamo una strada rispetto all'altra.

                                                                                                                                                  • Se si sceglie di utilizzare OpenSSL, la presente procedura fornisce le linee guida per la creazione di un file che soddisfi i requisiti di certificato X.509 in Requisiti di certificato X.509. Capire questi requisiti prima di continuare.

                                                                                                                                                  • Installare OpenSSL in un ambiente supportato. Vedere https://www.openssl.org per il software e la documentazione.

                                                                                                                                                  • Creare una chiave privata.

                                                                                                                                                  • Avviare questa procedura quando si riceve il certificato del server dall'autorità di certificazione (CA).

                                                                                                                                                  1

                                                                                                                                                  Quando si riceve il certificato del server dall'autorità di certificazione, salvarlo come hdsnode.pem.

                                                                                                                                                  2

                                                                                                                                                  Visualizzare il certificato come testo e verificare i dettagli.

                                                                                                                                                  openssl x509 -text -noout -in hdsnode.pem

                                                                                                                                                  3

                                                                                                                                                  Utilizzare un editor di testo per creare un file di bundle di certificati denominato hdsnode-bundle.pem. Il file bundle deve includere il certificato del server, eventuali certificati CA intermedi e i certificati CA radice, nel formato seguente:

                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ### Server certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Intermediate CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  -----BEGIN CERTIFICATE-----
                                                                                                                                                  ###  Root CA certificate. ###
                                                                                                                                                  -----END CERTIFICATE-----
                                                                                                                                                  4

                                                                                                                                                  Creare il file .p12 con il nome amichevole kms-private-key.

                                                                                                                                                  openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12

                                                                                                                                                  5

                                                                                                                                                  Controllare i dettagli del certificato del server.

                                                                                                                                                  1. openssl pkcs12 -in hdsnode.p12

                                                                                                                                                  2. Immettere una password quando viene richiesto di crittografare la chiave privata in modo che sia elencata nell'output. Quindi, verificare che la chiave privata e il primo certificato includano le linee friendlyName: kms-private-key.

                                                                                                                                                    Esempio:

                                                                                                                                                    bash$ openssl pkcs12 -in hdsnode.p12
                                                                                                                                                    Enter Import Password:
                                                                                                                                                    MAC verified OK
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    Key Attributes: <No Attributes>
                                                                                                                                                    Enter PEM pass phrase:
                                                                                                                                                    Verifying - Enter PEM pass phrase:
                                                                                                                                                    -----BEGIN ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END ENCRYPTED PRIVATE KEY-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: kms-private-key
                                                                                                                                                        localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 
                                                                                                                                                    subject=/CN=hds1.org6.portun.us
                                                                                                                                                    issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----
                                                                                                                                                    Bag Attributes
                                                                                                                                                        friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US
                                                                                                                                                    subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
                                                                                                                                                    issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3
                                                                                                                                                    -----BEGIN CERTIFICATE-----
                                                                                                                                                    <redacted>
                                                                                                                                                    -----END CERTIFICATE-----

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Tornare a Completare i prerequisiti per la sicurezza dei dati ibridi. Si utilizzerà il hdsnode.p12 file e la password impostata, in Crea una configurazione ISO per gli host HDS.


                                                                                                                                                   

                                                                                                                                                  È possibile riutilizzare questi file per richiedere un nuovo certificato alla scadenza del certificato originale.

                                                                                                                                                  Traffico tra i nodi HDS e il cloud

                                                                                                                                                  Traffico incasso metriche in uscita

                                                                                                                                                  I nodi di sicurezza dei dati ibridi inviano determinate metriche al cloud Webex. Queste includono metriche di sistema per heap max, heap utilizzato, caricamento CPU e conteggio thread; metriche su thread sincroni e asincroni; metriche su avvisi che comportano una soglia di connessioni di crittografia, latenza o lunghezza della coda di richiesta; metriche sul datastore e metriche di connessione di crittografia. I nodi inviano materiale chiave crittografato su un canale fuori banda (separato dalla richiesta).

                                                                                                                                                  Traffico in entrata

                                                                                                                                                  I nodi di sicurezza dei dati ibridi ricevono i seguenti tipi di traffico in entrata dal cloud Webex:

                                                                                                                                                  • Richieste di crittografia da client, indirizzate dal servizio di crittografia

                                                                                                                                                  • Aggiornamenti al software del nodo

                                                                                                                                                  Configurazione dei proxy Squid per la sicurezza dei dati ibridi

                                                                                                                                                  Websocket non può connettersi tramite proxy Squid

                                                                                                                                                  I proxy di calamari che ispezionano il traffico HTTPS possono interferire con la creazione di websocket ( wss:) connessioni richieste per la sicurezza dei dati ibridi. Queste sezioni forniscono indicazioni su come configurare diverse versioni di Squid da ignorare wss: traffico per il corretto funzionamento dei servizi.

                                                                                                                                                  Calamaro 4 e 5

                                                                                                                                                  Aggiungi il on_unsupported_protocol direttiva a squid.conf:

                                                                                                                                                  on_unsupported_protocol tunnel all

                                                                                                                                                  Calamaro 3.5.27

                                                                                                                                                  Abbiamo testato con successo la sicurezza dei dati ibridi con le seguenti regole aggiunte a squid.conf. Queste regole sono soggette a modifiche durante lo sviluppo delle funzioni e l'aggiornamento del cloud Webex.

                                                                                                                                                  acl wssMercuryConnection ssl::server_name_regex mercury-connection
                                                                                                                                                  
                                                                                                                                                  ssl_bump splice wssMercuryConnection
                                                                                                                                                  
                                                                                                                                                  acl step1 at_step SslBump1
                                                                                                                                                  acl step2 at_step SslBump2
                                                                                                                                                  acl step3 at_step SslBump3
                                                                                                                                                  ssl_bump peek step1 all
                                                                                                                                                  ssl_bump stare step2 all
                                                                                                                                                  ssl_bump bump step3 all
                                                                                                                                                  Prefazione

                                                                                                                                                  Informazioni nuove e modificate

                                                                                                                                                  Data

                                                                                                                                                  Modifiche apportate

                                                                                                                                                  20 ottobre 2023

                                                                                                                                                  7 agosto 2023

                                                                                                                                                  23 maggio 2023

                                                                                                                                                  6 dicembre 2022

                                                                                                                                                  23 novembre 2022

                                                                                                                                                  13 ottobre 2021

                                                                                                                                                  Docker Desktop deve eseguire un programma di impostazione prima di installare i nodi HDS. Vedere Requisiti desktop docker.

                                                                                                                                                  24 giugno 2021

                                                                                                                                                  Tenere presente che è possibile riutilizzare il file della chiave privata e il CSR per richiedere un altro certificato. Per informazioni dettagliate, vedere Uso di OpenSSL per generare un file PKCS12.

                                                                                                                                                  30 aprile 2021

                                                                                                                                                  Modificato il requisito della VM per lo spazio su disco rigido locale in 30 GB. Per informazioni dettagliate, vedere Requisiti organizzatore virtuale.

                                                                                                                                                  24 febbraio 2021

                                                                                                                                                  Lo strumento di impostazione HDS ora può essere eseguito dietro un proxy. Per informazioni dettagliate, vedere Creazione di una configurazione ISO per gli host HDS.

                                                                                                                                                  2 febbraio 2021

                                                                                                                                                  HDS ora può funzionare senza un file ISO montato. Per ulteriori informazioni, vedere (Opzionale) Smontaggio dell'ISO dopo la configurazione HDS.

                                                                                                                                                  11 gennaio 2021

                                                                                                                                                  Aggiunte informazioni sullo strumento di impostazione HDS e sui proxy per creare una configurazione ISO per gli host HDS.

                                                                                                                                                  13 ottobre 2020

                                                                                                                                                  Aggiornato Scarica file di installazione.

                                                                                                                                                  8 ottobre 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS e Modifica della configurazione del nodo con i comandi per gli ambienti FedRAMP.

                                                                                                                                                  14 agosto 2020

                                                                                                                                                  Aggiornata Creazione di un ISO di configurazione per gli host HDS e Modifica della configurazione del nodo con modifiche al processo di accesso.

                                                                                                                                                  5 agosto 2020

                                                                                                                                                  Aggiornata la verifica della distribuzione della sicurezza dei dati ibridi per le modifiche nei messaggi del registro.

                                                                                                                                                  Aggiornati i requisiti dell'organizzatore virtuale per rimuovere il numero massimo di organizzatori.

                                                                                                                                                  16 giugno 2020

                                                                                                                                                  Aggiornata la rimozione di un nodo per le modifiche nell'interfaccia utente di Control Hub.

                                                                                                                                                  4 giugno 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS per le modifiche alle impostazioni avanzate che è possibile impostare.

                                                                                                                                                  29 maggio 2020

                                                                                                                                                  Aggiornata Creazione di una configurazione ISO per gli host HDS per mostrare che è possibile utilizzare anche TLS con database SQL Server, modifiche dell'interfaccia utente e altri chiarimenti.

                                                                                                                                                  5 maggio 2020

                                                                                                                                                  Aggiornati i requisiti dell'organizzatore virtuale per mostrare il nuovo requisito di ESXi 6.5.

                                                                                                                                                  21 aprile 2020

                                                                                                                                                  Aggiornati i requisiti di connettività esterna con i nuovi host CI Americas.

                                                                                                                                                  1° aprile 2020

                                                                                                                                                  Aggiornati i requisiti di connettività esterna con informazioni sugli host CI regionali.

                                                                                                                                                  20 febbraio 2020Aggiornata Creazione di una configurazione ISO per gli host HDS con informazioni sulla nuova schermata opzionale Impostazioni avanzate nello strumento Impostazione HDS.
                                                                                                                                                  4 febbraio 2020Aggiornati i requisiti del server proxy.
                                                                                                                                                  16 dicembre 2019Chiarito il requisito per il funzionamento della modalità di risoluzione DNS esterna bloccata in Requisiti server proxy.
                                                                                                                                                  19 novembre 2019

                                                                                                                                                  Aggiunte informazioni sulla modalità di risoluzione DNS esterna bloccata nelle seguenti sezioni:

                                                                                                                                                  8 novembre 2019

                                                                                                                                                  Ora è possibile configurare le impostazioni di rete per un nodo durante la distribuzione del file OVA anziché successivamente.

                                                                                                                                                  Aggiornate di conseguenza le seguenti sezioni:


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  6 settembre 2019

                                                                                                                                                  Aggiunto SQL Server Standard ai requisiti del server database.

                                                                                                                                                  È il 29 agosto 2019Aggiunta l'appendice Configura proxy Squid per la sicurezza dei dati ibridi con indicazioni sulla configurazione dei proxy Squid per ignorare il traffico websocket per un funzionamento corretto.
                                                                                                                                                  20 agosto 2019

                                                                                                                                                  Aggiunte e aggiornate sezioni per coprire il supporto proxy per le comunicazioni dei nodi di sicurezza dei dati ibridi al cloud Webex.

                                                                                                                                                  Per accedere solo al contenuto del supporto proxy per una distribuzione esistente, vedere l'articolo della Guida sul supporto proxy per la sicurezza dei dati ibridi e il mesh video Webex.

                                                                                                                                                  13 giugno 2019Aggiornato Flusso attività di prova su produzione con un promemoria per sincronizzare la HdsTrialGroup raggruppa l'oggetto prima di avviare una versione di prova se la tua organizzazione utilizza la sincronizzazione delle rubriche.
                                                                                                                                                  6 marzo 2019
                                                                                                                                                  28 febbraio 2019
                                                                                                                                                  • È stata corretta la quantità di spazio su disco rigido locale per server da impostare quando si preparano gli host virtuali che diventano nodi di sicurezza dei dati ibridi, da 50 GB a 20 GB, in modo da riflettere la dimensione del disco creato dal file OVA.

                                                                                                                                                  26 febbraio 2019
                                                                                                                                                  • I nodi Hybrid Data Security ora supportano connessioni crittografate con server di database PostgreSQL e connessioni di registrazione crittografate a un server syslog con funzionalità TLS. Aggiornata la creazione di un ISO di configurazione per gli host HDS con le istruzioni.

                                                                                                                                                  • URL di destinazione rimossi dalla tabella "Requisiti di connettività Internet per le VM dei nodi di sicurezza dei dati ibridi". La tabella ora si riferisce all'elenco mantenuto nella tabella "URL aggiuntivi per i servizi ibridi dei team Webex" dei Requisiti di rete per i servizi dei team Webex.

                                                                                                                                                  24 gennaio 2019

                                                                                                                                                  • Hybrid Data Security ora supporta Microsoft SQL Server come database. SQL Server Always On (cluster di failover sempre attivi e gruppi di disponibilità sempre attivi) è supportato dai driver JDBC utilizzati in Hybrid Data Security. Aggiunto contenuto relativo alla distribuzione con SQL Server.


                                                                                                                                                     

                                                                                                                                                    Il supporto di Microsoft SQL Server è destinato alle nuove distribuzioni di Hybrid Data Security. Attualmente non è supportata la migrazione dei dati da PostgreSQL a Microsoft SQL Server in una distribuzione esistente.

                                                                                                                                                  5 novembre 2018
                                                                                                                                                  giovedì 19 ottobre 2018

                                                                                                                                                  31 luglio 2018

                                                                                                                                                  21 maggio 2018

                                                                                                                                                  Terminologia modificata per riflettere il rebranding di Cisco Spark:

                                                                                                                                                  • La sicurezza dei dati ibridi Cisco Spark è ora Sicurezza dei dati ibridi.

                                                                                                                                                  • L'app Cisco Spark ora è l'app Webex.

                                                                                                                                                  • Cisco Collaboraton Cloud è ora il cloud Webex.

                                                                                                                                                  11 aprile 2018
                                                                                                                                                  22 febbraio 2018
                                                                                                                                                  15 febbraio 2018
                                                                                                                                                  • Nella tabella dei requisiti di certificato X.509, è specificato che il certificato non può essere un certificato con caratteri jolly e che KMS utilizza il dominio CN, non qualsiasi dominio definito nei campi x.509v3 SAN.

                                                                                                                                                  18 gennaio 2018

                                                                                                                                                  2 novembre 2017

                                                                                                                                                  • Chiarificazione della sincronizzazione delle rubriche di HdsTrialGroup.

                                                                                                                                                  • Istruzioni fisse per il caricamento del file di configurazione ISO per il montaggio sui nodi VM.

                                                                                                                                                  18 agosto 2017

                                                                                                                                                  Prima pubblicazione

                                                                                                                                                  Introduzione alla sicurezza dei dati ibridi

                                                                                                                                                  Panoramica sulla sicurezza dei dati ibridi

                                                                                                                                                  Fin dal primo giorno, la sicurezza dei dati è stata l'obiettivo principale nella progettazione dell'app Webex. La pietra angolare di questa sicurezza è la crittografia del contenuto end-to-end, abilitata dai client dell'app Webex che interagiscono con il servizio di gestione delle chiavi (KMS). Il KMS è responsabile della creazione e della gestione delle chiavi di crittografia utilizzate dai client per crittografare e decrittografare in modo dinamico messaggi e file.

                                                                                                                                                  Per impostazione predefinita, tutti i clienti dell'app Webex ottengono la crittografia end-to-end con chiavi dinamiche memorizzate nel KMS su cloud, nell'area di sicurezza di Cisco. La sicurezza dei dati ibridi sposta il KMS e altre funzioni correlate alla sicurezza nel centro dati aziendali , in modo che nessuno tranne l'utente possieda le chiavi del contenuto crittografato.

                                                                                                                                                  Architettura dell'area di sicurezza

                                                                                                                                                  L'architettura cloud Webex separa diversi tipi di servizio in regni separati o domini attendibili, come illustrato di seguito.

                                                                                                                                                  Campi di separazione (senza sicurezza dei dati ibridi)

                                                                                                                                                  Per comprendere meglio la sicurezza dei dati ibridi, diamo un'occhiata a questo caso cloud puro, in cui Cisco fornisce tutte le funzioni nelle sue aree cloud. Il servizio di identità, l'unico luogo in cui gli utenti possono essere direttamente correlati con le loro informazioni personali come l'indirizzo e-mail, è logicamente e fisicamente separato dall'area di sicurezza nel centro dati B. Entrambi sono a loro volta separati dall'area di archiviazione del contenuto crittografato, nel centro dati C.

                                                                                                                                                  In questo diagramma, il client è l'app Webex in esecuzione sul laptop di un utente ed è stato autenticato con il servizio di identità. Quando l'utente compone un messaggio da inviare a uno spazio, vengono eseguite le seguenti operazioni:

                                                                                                                                                  1. Il client stabilisce una connessione sicura con il servizio di gestione delle chiavi (KMS), quindi richiede una chiave per crittografare il messaggio. La connessione protetta utilizza ECDH e KMS crittografa la chiave utilizzando una chiave master AES-256.

                                                                                                                                                  2. Il messaggio viene crittografato prima di lasciare il client. Il cliente lo invia al servizio di indicizzazione che crea indici di ricerca criptati per facilitare la ricerca futura dei contenuti.

                                                                                                                                                  3. Il messaggio crittografato viene inviato al servizio di compliance per i controlli di conformità.

                                                                                                                                                  4. Il messaggio crittografato viene memorizzato nell'area di storage.

                                                                                                                                                  Quando si distribuisce la sicurezza dei dati ibridi, si spostano le funzioni dell'area di sicurezza (KMS, indicizzazione e conformità) nel centro dati locale. Gli altri servizi cloud che costituiscono Webex (tra cui identità e storage di contenuto) rimangono nei regni di Cisco.

                                                                                                                                                  Collaborazione con altre organizzazioni

                                                                                                                                                  Gli utenti nella tua organizzazione possono utilizzare regolarmente l'app Webex per collaborare con partecipanti esterni in altre organizzazioni. Quando uno dei tuoi utenti richiede una chiave per uno spazio di proprietà della tua organizzazione (perché è stata creata da uno dei tuoi utenti), il tuo KMS invia la chiave al client su un canale protetto ECDH. Tuttavia, quando un'altra organizzazione possiede la chiave per lo spazio, KMS indirizza la richiesta al cloud Webex attraverso un canale ECDH separato per ottenere la chiave dal KMS appropriato, quindi restituisce la chiave all'utente sul canale originale.

                                                                                                                                                  Il servizio KMS in esecuzione sull'organizzazione A convalida le connessioni ai KMS in altre organizzazioni utilizzando certificati PKI x.509. Vedere Preparazione dell'ambiente per informazioni dettagliate sulla generazione di un certificato x.509 da utilizzare con la distribuzione di sicurezza dei dati ibridi.

                                                                                                                                                  Aspettative per la distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Una distribuzione di sicurezza dei dati ibridi richiede un significativo impegno del cliente e una consapevolezza dei rischi derivanti dal possesso di chiavi di crittografia.

                                                                                                                                                  Per distribuire la sicurezza dei dati ibridi, è necessario fornire:

                                                                                                                                                  La perdita completa della configurazione ISO creata per la sicurezza dei dati ibridi o del database fornito provocherà la perdita delle chiavi. La perdita di chiave impedisce agli utenti di decrittografare il contenuto dello spazio e altri dati crittografati nell'app Webex. In questo caso, è possibile creare una nuova distribuzione, ma solo nuovi contenuti saranno visibili. Per evitare di perdere l'accesso ai dati, è necessario:

                                                                                                                                                  • Gestire il backup e il ripristino del database e della configurazione ISO.

                                                                                                                                                  • Prepararsi a eseguire un rapido ripristino di emergenza in caso di catastrofe, come guasto del disco del database o disastro del centro dati.


                                                                                                                                                   

                                                                                                                                                  Non esiste un meccanismo per spostare nuovamente i tasti sul cloud dopo una distribuzione HDS.

                                                                                                                                                  Processo di impostazione di alto livello

                                                                                                                                                  Questo documento copre l'impostazione e la gestione di una distribuzione di sicurezza dei dati ibridi:

                                                                                                                                                  • Impostazione della sicurezza dei dati ibridi: include la preparazione dell'infrastruttura richiesta e l'installazione del software di sicurezza dei dati ibridi, il test della distribuzione con un sottogruppo di utenti in modalità di prova e, una volta completato il test, il passaggio alla produzione. In questo modo, l'intera organizzazione viene convertita per utilizzare il cluster di sicurezza dei dati ibridi per le funzioni di sicurezza.

                                                                                                                                                    Le fasi di configurazione, prova e produzione sono descritte in dettaglio nei prossimi tre capitoli.

                                                                                                                                                  • Mantieni la distribuzione di sicurezza dei dati ibridi: il cloud Webex fornisce automaticamente aggiornamenti continui. Il reparto IT può fornire il supporto di primo livello per questa distribuzione e coinvolgere il supporto Cisco come necessario. Puoi utilizzare notifiche a schermo e impostare avvisi basati su e-mail in Control Hub.

                                                                                                                                                  • Comprendere avvisi comuni, fasi di risoluzione dei problemi e problemi noti: se si verificano problemi di distribuzione o utilizzo della sicurezza dei dati ibridi, l'ultimo capitolo di questa guida e l'appendice Problemi noti possono aiutare a determinare e risolvere il problema.

                                                                                                                                                  Modello di distribuzione di sicurezza dei dati ibridi

                                                                                                                                                  All'interno del centro dati aziendale, si distribuisce Hybrid Data Security come singolo cluster di nodi su host virtuali separati. I nodi comunicano con il cloud Webex attraverso websocket sicuri e HTTP sicuro.

                                                                                                                                                  Durante il processo di installazione, viene fornito il file OVA per impostare l'applicazione virtuale sulle VM fornite. Utilizzare lo strumento di impostazione HDS per creare un file ISO di configurazione del cluster personalizzato che viene montato su ciascun nodo. Il cluster di sicurezza dei dati ibridi utilizza il server Syslogd fornito e il database PostgreSQL o Microsoft SQL Server. Configurare i dettagli di connessione Syslogd e database nello strumento di impostazione HDS.

                                                                                                                                                  Modello di distribuzione di sicurezza dei dati ibridi

                                                                                                                                                  Il numero minimo di nodi che puoi avere in un cluster è due. Si consiglia di averne almeno tre e si possono averne fino a cinque. La presenza di più nodi garantisce che il servizio non venga interrotto durante un aggiornamento software o un'altra attività di manutenzione su un nodo. (Il cloud Webex aggiorna solo un nodo alla volta).

                                                                                                                                                  Tutti i nodi in un cluster accedono allo stesso datastore chiave e registrano l'attività sullo stesso server syslog. I nodi stessi sono apolidi e gestiscono le richieste chiave in modo rotondo-robin, come diretto dal cloud.

                                                                                                                                                  I nodi diventano attivi quando vengono registrati in Control Hub. Per rimuovere un singolo nodo dal servizio, puoi annullarne la registrazione e successivamente eseguirne l'iscrizione, se necessario.

                                                                                                                                                  È supportato solo un singolo cluster per organizzazione.

                                                                                                                                                  Modalità di prova della sicurezza dei dati ibridi

                                                                                                                                                  Dopo aver impostato una distribuzione di sicurezza dei dati ibridi, provare con una serie di utenti pilota. Durante il periodo di prova, questi utenti utilizzano il dominio di sicurezza dei dati ibridi in sede per le chiavi di crittografia e altri servizi di area di sicurezza. Gli altri utenti continuano a utilizzare l'area di sicurezza del cloud.

                                                                                                                                                  Se si decide di non continuare con la distribuzione durante la versione di prova e disattivare il servizio, gli utenti pilota e qualsiasi utente con cui hanno interagito creando nuovi spazi durante il periodo di prova perderanno l'accesso ai messaggi e al contenuto. Nell'app Webex viene visualizzato il messaggio "Impossibile decrittografare questo messaggio".

                                                                                                                                                  Se si è soddisfatti che la distribuzione funzioni correttamente per gli utenti di prova e si è pronti ad estendere la sicurezza dei dati ibridi a tutti gli utenti, spostare la distribuzione in produzione. Gli utenti pilota continuano ad avere accesso alle chiavi in uso durante la prova. Tuttavia, non è possibile spostarsi avanti e indietro tra la modalità di produzione e la versione di prova originale. Se è necessario disattivare il servizio, ad esempio per eseguire il ripristino di emergenza, quando si riattiva è necessario avviare una nuova versione di prova e impostare il set di utenti pilota per la nuova versione di prova prima di tornare alla modalità di produzione. Se gli utenti conservano l'accesso ai dati a questo punto, dipende se sono stati mantenuti con successo i backup dell'archivio dati chiave e del file di configurazione ISO per i nodi di sicurezza dei dati ibridi nel cluster.

                                                                                                                                                  Centro dati standby per ripristino di emergenza

                                                                                                                                                  Durante la distribuzione, è possibile impostare un centro dati standby sicuro. In caso di disastro di un centro dati, è possibile non riuscire manualmente la distribuzione nel centro dati standby.

                                                                                                                                                  Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode.
                                                                                                                                                  Failover manuale su centro dati standby

                                                                                                                                                  I database dei centri dati attivi e standby sono sincronizzati tra loro e ciò ridurrà al minimo il tempo necessario per eseguire il failover. Il file ISO del centro dati standby viene aggiornato con configurazioni aggiuntive che assicurano che i nodi siano registrati nell'organizzazione, ma non gestiranno il traffico. Pertanto, i nodi del centro dati standby rimangono sempre aggiornati con l'ultima versione del software HDS.


                                                                                                                                                   

                                                                                                                                                  I nodi di sicurezza dei dati ibridi attivi devono essere sempre nello stesso centro dati del server di database attivo.

                                                                                                                                                  Imposta centro dati standby per ripristino di emergenza

                                                                                                                                                  Effettuare le seguenti operazioni per configurare il file ISO del centro dati standby:

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Il centro dati standby deve rispecchiare l'ambiente di produzione delle VM e un database PostgreSQL o Microsoft SQL Server di backup. Ad esempio, se la produzione dispone di 3 VM con nodi HDS in esecuzione, l'ambiente di backup deve disporre di 3 VM (vedere Centro dati standby per ripristino di emergenza per una panoramica di questo modello di failover).

                                                                                                                                                  • Accertarsi che la sincronizzazione del database sia abilitata tra il database dei nodi cluster attivi e passivi.

                                                                                                                                                  1

                                                                                                                                                  Avviare lo strumento di impostazione HDS e seguire la procedura indicata in Crea una configurazione ISO per gli host HDS.


                                                                                                                                                   

                                                                                                                                                  Il file ISO deve essere una copia del file ISO originale del data center principale su cui devono essere effettuati i seguenti aggiornamenti di configurazione.

                                                                                                                                                  2

                                                                                                                                                  Dopo aver configurato il server Syslogd, fare clic su Impostazioni avanzate

                                                                                                                                                  3

                                                                                                                                                  Nella pagina Impostazioni avanzate, aggiungi la configurazione seguente per posizionare il nodo in modalità passiva. In questa modalità, il nodo verrà registrato nell'organizzazione e connesso al cloud, ma non gestirà alcun traffico.

                                                                                                                                                  
                                                                                                                                                  passiveMode: 'true'
                                                                                                                                                  
                                                                                                                                                  4

                                                                                                                                                  Completa il processo di configurazione e salva il file ISO in una posizione facile da trovare.

                                                                                                                                                  5

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale. Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  6

                                                                                                                                                  Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic con il pulsante destro del mouse sulla VM e fare clic su Modifica impostazioni.

                                                                                                                                                  7

                                                                                                                                                  Fare clic su Modifica impostazioni >Unità CD/DVD 1 e selezionare Datastore ISO File.


                                                                                                                                                   

                                                                                                                                                  Accertarsi che Connected e Connect all'accensione siano controllati in modo che le modifiche di configurazione aggiornate possano avere effetto dopo l'avvio dei nodi.

                                                                                                                                                  8

                                                                                                                                                  Accendere il nodo HDS e assicurarsi che non vi siano allarmi per almeno 15 minuti.

                                                                                                                                                  9

                                                                                                                                                  Ripetere la procedura per ogni nodo nel centro dati standby.


                                                                                                                                                   

                                                                                                                                                  Controllare i registri di sistema per verificare che i nodi siano in modalità passiva. È necessario essere in grado di visualizzare il messaggio "KMS configurato in modalità passiva" nei registri di sistema.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Dopo la configurazione passiveMode nel file ISO e salvarlo, è possibile creare un'altra copia del file ISO senza il passiveMode configurazione e salvarla in una posizione sicura. Questa copia del file ISO senza passiveMode configurato può essere di aiuto in un rapido processo di failover durante il ripristino di emergenza. Vedere Ripristino di emergenza utilizzando il centro dati standby per la procedura di failover dettagliata.

                                                                                                                                                  Supporto proxy

                                                                                                                                                  La sicurezza dei dati ibridi supporta proxy espliciti, trasparenti e non ispezionati. È possibile associare questi proxy alla distribuzione in modo da poter proteggere e monitorare il traffico dall'azienda al cloud. È possibile utilizzare un'interfaccia di amministrazione della piattaforma sui nodi per la gestione dei certificati e per controllare lo stato generale della connettività dopo aver impostare il proxy sui nodi.

                                                                                                                                                  I nodi di sicurezza dei dati ibridi supportano le seguenti opzioni proxy:

                                                                                                                                                  • Nessun proxy: impostazione predefinita se non si utilizza la configurazione Trust Store e Proxy del nodo HDS per integrare un proxy. Nessun aggiornamento del certificato richiesto.

                                                                                                                                                  • Proxy non ispezionato trasparente: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non devono richiedere modifiche per lavorare con un proxy non ispezionato. Nessun aggiornamento del certificato richiesto.

                                                                                                                                                  • Tunneling trasparente o ispezione del proxy: i nodi non sono configurati per utilizzare un indirizzo del server proxy specifico. Nessuna modifica di configurazione HTTP o HTTPS è necessaria sui nodi. Tuttavia, i nodi necessitano di un certificato radice in modo che si fidino del proxy. Le deleghe di ispezione vengono solitamente utilizzate dal reparto IT per attuare politiche su cui i siti web possono essere visitati e su quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).

                                                                                                                                                  • Proxy esplicito: con il proxy esplicito, indicare ai nodi HDS quale server proxy e schema di autenticazione utilizzare. Per configurare un proxy esplicito, è necessario immettere le seguenti informazioni su ciascun nodo:

                                                                                                                                                    1. IP/FQDN proxy: indirizzo che può essere utilizzato per raggiungere la macchina proxy.

                                                                                                                                                    2. Porta proxy: un numero di porta utilizzato dal proxy per ascoltare il traffico proxy.

                                                                                                                                                    3. Protocollo proxy: a seconda del supporto del server proxy, scegliere tra i seguenti protocolli:

                                                                                                                                                      • HTTP: visualizza e controlla tutte le richieste inviate dal client.

                                                                                                                                                      • HTTPS: fornisce un canale al server. Il client riceve e convalida il certificato del server.

                                                                                                                                                    4. Tipo di autenticazione: scegliere uno dei seguenti tipi di autenticazione:

                                                                                                                                                      • Nessuno: non è richiesta alcuna ulteriore autenticazione.

                                                                                                                                                        Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

                                                                                                                                                      • Base: utilizzato per un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

                                                                                                                                                        Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

                                                                                                                                                        Richiede di immettere il nome utente e la password su ciascun nodo.

                                                                                                                                                      • Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e la password prima dell'invio tramite la rete.

                                                                                                                                                        Disponibile solo se si seleziona HTTPS come protocollo proxy.

                                                                                                                                                        Richiede di immettere il nome utente e la password su ciascun nodo.

                                                                                                                                                  Esempio di nodi e proxy di sicurezza dei dati ibridi

                                                                                                                                                  Questo diagramma mostra un esempio di connessione tra sicurezza dati ibridi, rete e proxy. Per le opzioni proxy di ispezione trasparente e di ispezione esplicita HTTPS, è necessario installare lo stesso certificato radice sul proxy e sui nodi di sicurezza dei dati ibridi.

                                                                                                                                                  Modalità di risoluzione DNS esterna bloccata (configurazioni proxy esplicite)

                                                                                                                                                  Quando si registra un nodo o si controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud Cisco Webex. Nelle distribuzioni con configurazioni proxy esplicite che non consentono la risoluzione DNS esterna per client interni, se il nodo non riesce a interrogare i server DNS, passa automaticamente in modalità di risoluzione DNS esterna bloccata. In questa modalità, è possibile continuare con la registrazione del nodo e altri test di connettività proxy.

                                                                                                                                                  Preparazione dell'ambiente

                                                                                                                                                  Requisiti per la sicurezza dei dati ibridi

                                                                                                                                                  Requisiti della licenza Cisco Webex

                                                                                                                                                  Per distribuire la sicurezza dei dati ibridi:

                                                                                                                                                  Requisiti desktop docker

                                                                                                                                                  Prima di installare i nodi HDS, è necessario Docker Desktop per eseguire un programma di impostazione. Docker ha recentemente aggiornato il modello di licenza. La tua organizzazione potrebbe richiedere un abbonamento a pagamento per Docker Desktop. Per informazioni dettagliate, vedi il post di blog Docker, " Docker sta aggiornando ed estendendo gli abbonamenti dei prodotti ".

                                                                                                                                                  Requisiti di certificato X.509

                                                                                                                                                  La catena di certificati deve soddisfare i seguenti requisiti:

                                                                                                                                                  Tabella 1. Requisiti di certificato X.509 per la distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Requisito

                                                                                                                                                  Dettagli

                                                                                                                                                  • Firmato da un'autorità di certificazione attendibile (CA)

                                                                                                                                                  Per impostazione predefinita, ci affidiamo alle CA presenti nella lista Mozilla (ad eccezione di WoSign e StartCom) su https://wiki.mozilla.org/CA:IncludedCAs.

                                                                                                                                                  • Contiene un nome di dominio nome comune (CN) che identifica la distribuzione di Hybrid Data Security

                                                                                                                                                  • Non è un certificato jolly

                                                                                                                                                  Il CN non deve essere raggiungibile o un organizzatore in diretta. Si consiglia di utilizzare un nome che rifletta la propria organizzazione, ad esempio, hds.company.com.

                                                                                                                                                  Il CN non deve contenere un * (carattere jolly).

                                                                                                                                                  Il CN viene utilizzato per verificare i nodi di sicurezza dei dati ibridi nei client dell'app Webex. Tutti i nodi di sicurezza dei dati ibridi nel cluster utilizzano lo stesso certificato. Il tuo KMS si identifica utilizzando il dominio CN, non qualsiasi dominio definito nei campi x.509v3 SAN.

                                                                                                                                                  Una volta registrato un nodo con questo certificato, non è possibile modificare il nome del dominio CN. Scegliere un dominio che possa essere applicato sia alle distribuzioni di prova che a quelle di produzione.

                                                                                                                                                  • Firma non SHA1

                                                                                                                                                  Il software KMS non supporta le firme SHA1 per la convalida delle connessioni ai KMS di altre organizzazioni.

                                                                                                                                                  • Formattato come file PKCS #12 protetto da password

                                                                                                                                                  • Usa il nome amichevole di kms-private-key per contrassegnare il certificato, la chiave privata e qualsiasi certificato intermedio da caricare.

                                                                                                                                                  È possibile utilizzare un convertitore come OpenSSL per modificare il formato del certificato.

                                                                                                                                                  Quando si esegue lo strumento di impostazione HDS, è necessario immettere la password.

                                                                                                                                                  Il software KMS non applica l'utilizzo delle chiavi o vincoli di utilizzo delle chiavi estesi. Alcune autorità di certificazione richiedono l'applicazione di vincoli di utilizzo chiave estesi a ciascun certificato, come l'autenticazione del server. È possibile utilizzare l'autenticazione del server o altre impostazioni.

                                                                                                                                                  Requisiti organizzatore virtuale

                                                                                                                                                  Gli organizzatori virtuali che verranno impostati come nodi di sicurezza dei dati ibridi nel cluster presentano i seguenti requisiti:

                                                                                                                                                  • Almeno due organizzatori separati (3 consigliati) coposizionati nello stesso centro dati sicuro

                                                                                                                                                  • VMware ESXi 6.5 (o versioni successive) installato e in esecuzione.


                                                                                                                                                     

                                                                                                                                                    È necessario eseguire l'aggiornamento se si dispone di una versione precedente di ESXi.

                                                                                                                                                  • Minimo 4 vCPU, memoria principale da 8 GB, spazio su disco rigido locale da 30 GB per server

                                                                                                                                                  Requisiti server database


                                                                                                                                                   

                                                                                                                                                  Creare un nuovo database per lo storage delle chiavi. Non utilizzare il database predefinito. Le applicazioni HDS, una volta installate, creano lo schema del database.

                                                                                                                                                  Sono disponibili due opzioni per il server del database. I requisiti per ciascuno di essi sono i seguenti:

                                                                                                                                                  Tabella 2. Requisiti del server di database per tipo di database

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  • PostgreSQL 14, 15 o 16, installato e in esecuzione.

                                                                                                                                                  • SQL Server 2016, 2017 o 2019 (Enterprise o Standard) installato.


                                                                                                                                                     

                                                                                                                                                    SQL Server 2016 richiede il Service Pack 2 e l'aggiornamento cumulativo 2 o successivo.

                                                                                                                                                  Minimo 8 vCPU, memoria principale 16-GB, spazio su disco rigido sufficiente e monitoraggio per assicurarsi che non venga superato (2-TB consigliato se si desidera eseguire il database per un lungo periodo di tempo senza dover aumentare lo storage)

                                                                                                                                                  Minimo 8 vCPU, memoria principale 16-GB, spazio su disco rigido sufficiente e monitoraggio per assicurarsi che non venga superato (2-TB consigliato se si desidera eseguire il database per un lungo periodo di tempo senza dover aumentare lo storage)

                                                                                                                                                  Il software HDS attualmente installa le seguenti versioni del driver per la comunicazione con il server del database:

                                                                                                                                                  PostgreSQL

                                                                                                                                                  Server Microsoft SQL

                                                                                                                                                  Driver Postgres JDBC 42.2.5

                                                                                                                                                  Driver JDBC server SQL 4.6

                                                                                                                                                  Questa versione del driver supporta SQL Server Always On (istanze cluster di failover Always On e gruppi di disponibilità Always On).

                                                                                                                                                  Requisiti aggiuntivi per l'autenticazione Windows rispetto a Microsoft SQL Server

                                                                                                                                                  Se si desidera che i nodi HDS utilizzino l'autenticazione Windows per accedere al database dei keystore su Microsoft SQL Server, è necessaria la seguente configurazione nel proprio ambiente:

                                                                                                                                                  • I nodi HDS, l'infrastruttura Active Directory e il server MS SQL devono essere tutti sincronizzati con NTP.

                                                                                                                                                  • L'account Windows fornito ai nodi HDS deve disporre dell'accesso in lettura/scrittura al database.

                                                                                                                                                  • I server DNS forniti ai nodi HDS devono essere in grado di risolvere il Key Distribution Center (KDC).

                                                                                                                                                  • È possibile registrare l'istanza del database HDS su Microsoft SQL Server come SPN (Service Principal Name) in Active Directory. Vedere Registrazione di un nome principale del servizio per le connessioni Kerberos.

                                                                                                                                                    Lo strumento di impostazione HDS, HDS launcher e KMS locali devono tutti utilizzare l'autenticazione Windows per accedere al database del keystore. Utilizzano i dettagli della configurazione ISO per costruire l'SPN quando si richiede l'accesso con autenticazione Kerberos.

                                                                                                                                                  Requisiti di connettività esterna

                                                                                                                                                  Configurare il firewall per consentire la seguente connettività per le applicazioni HDS:

                                                                                                                                                  Applicazione

                                                                                                                                                  Protocol

                                                                                                                                                  Porta

                                                                                                                                                  Direzione dall'app

                                                                                                                                                  Destinazione

                                                                                                                                                  Nodi di sicurezza dati ibridi

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS e WSS in uscita

                                                                                                                                                  • Server Webex:

                                                                                                                                                    • *.wbx2.com

                                                                                                                                                    • *.ciscospark.com

                                                                                                                                                  • Tutti gli organizzatori Common Identity

                                                                                                                                                  • Altri URL elencati per la sicurezza dei dati ibridi nella tabella degli URL aggiuntivi per i servizi ibridi Webex dei requisiti di rete per i servizi Webex

                                                                                                                                                  Strumento di impostazione HDS

                                                                                                                                                  TCP

                                                                                                                                                  443

                                                                                                                                                  HTTPS in uscita

                                                                                                                                                  • *.wbx2.com

                                                                                                                                                  • Tutti gli organizzatori Common Identity

                                                                                                                                                  • hub.docker.com


                                                                                                                                                   

                                                                                                                                                  I nodi di sicurezza dei dati ibridi funzionano con la traduzione dell'accesso alla rete (NAT) o dietro un firewall, a condizione che il NAT o il firewall consentano le connessioni in uscita richieste alle destinazioni del dominio nella tabella precedente. Per le connessioni in ingresso ai nodi di sicurezza dei dati ibridi, nessuna porta deve essere visibile da Internet. All'interno del centro dati, i client devono accedere ai nodi di sicurezza dei dati ibridi sulle porte TCP 443 e 22 per fini amministrativi.

                                                                                                                                                  Gli URL per gli host Common Identity (CI) sono specifici della regione. Questi sono gli host CI correnti:

                                                                                                                                                  Regione

                                                                                                                                                  URL host identità comune

                                                                                                                                                  Americhe

                                                                                                                                                  • https://idbroker.webex.com

                                                                                                                                                  • https://identity.webex.com

                                                                                                                                                  • https://idbroker-b-us.webex.com

                                                                                                                                                  • https://identity-b-us.webex.com

                                                                                                                                                  Unione Europea

                                                                                                                                                  • https://idbroker-eu.webex.com

                                                                                                                                                  • https://identity-eu.webex.com

                                                                                                                                                  Canada

                                                                                                                                                  • https://idbroker-ca.webex.com

                                                                                                                                                  • https://identity-ca.webex.com

                                                                                                                                                  Requisiti server proxy

                                                                                                                                                  • Sono supportate ufficialmente le seguenti soluzioni proxy che possono essere integrate con i nodi di sicurezza dei dati ibridi.

                                                                                                                                                  • Sono supportate le seguenti combinazioni di tipi di autenticazione per proxy espliciti:

                                                                                                                                                    • Nessuna autenticazione con HTTP o HTTPS

                                                                                                                                                    • Autenticazione di base con HTTP o HTTPS

                                                                                                                                                    • Autenticazione del digest solo con HTTPS

                                                                                                                                                  • Per un proxy di ispezione trasparente o un proxy esplicito HTTPS, è necessario disporre di una copia del certificato radice del proxy. Le istruzioni di distribuzione in questa guida indicano come caricare la copia negli archivi attendibilità dei nodi di sicurezza dei dati ibridi.

                                                                                                                                                  • È necessario configurare la rete che ospita i nodi HDS per forzare il traffico TCP in uscita sulla porta 443 per l'indirizzamento attraverso il proxy.

                                                                                                                                                  • I proxy che controllano il traffico Web possono interferire con le connessioni dei socket Web. Se si verifica questo problema, aggirare (non ispezionare) il traffico verso wbx2.com e ciscospark.com risolverà il problema.

                                                                                                                                                  Completamento dei prerequisiti per la sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare questa lista di controllo per assicurarsi di essere pronti a installare e configurare il cluster di sicurezza dei dati ibridi.
                                                                                                                                                  1

                                                                                                                                                  Accertarsi che l'organizzazione Webex sia abilitata per Pro Pack per Cisco Webex Control Hub e ottenere le credenziali di un account con diritti di amministratore dell'organizzazione completi. Contattare il partner Cisco o l'account manager per assistenza con questo processo.

                                                                                                                                                  2

                                                                                                                                                  Scegliere un nome di dominio per la distribuzione HDS (ad esempio, hds.company.com) e ottenere una catena di certificati contenente un certificato X.509, chiave privata e qualsiasi certificato intermedio. La catena di certificati deve soddisfare i requisiti di Requisiti di certificato X.509.

                                                                                                                                                  3

                                                                                                                                                  Preparare host virtuali identici che verranno impostati come nodi di sicurezza dei dati ibridi nel cluster. Sono necessari almeno due organizzatori separati (3 consigliati) coposizionati nello stesso centro dati sicuro, che soddisfano i requisiti dei requisiti dell'organizzatore virtuale.

                                                                                                                                                  4

                                                                                                                                                  Preparare il server del database che fungerà da archivio dati chiave per il cluster, in base ai requisiti del server del database. Il server del database deve essere co-posizionato nel centro dati sicuro con gli host virtuali.

                                                                                                                                                  1. Creare un database per lo storage delle chiavi. (È necessario creare questo database; non utilizzare il database predefinito. Le applicazioni HDS, una volta installate, creano lo schema del database.)

                                                                                                                                                  2. Raccogliere i dettagli che i nodi utilizzeranno per comunicare con il server del database:

                                                                                                                                                    • nome host o indirizzo IP (host) e porta

                                                                                                                                                    • nome del database (dbname) per l'archiviazione chiave

                                                                                                                                                    • nome utente e password di un utente con tutti i privilegi nel database di memorizzazione delle chiavi

                                                                                                                                                  5

                                                                                                                                                  Per un rapido ripristino di emergenza, impostare un ambiente di backup in un centro dati diverso. L'ambiente di backup rispecchia l'ambiente di produzione delle VM e un server di database di backup. Ad esempio, se la produzione dispone di 3 VM con nodi HDS in esecuzione, l'ambiente di backup deve disporre di 3 VM.

                                                                                                                                                  6

                                                                                                                                                  Impostare un host syslog per raccogliere i registri dai nodi nel cluster. Raccogliere l'indirizzo di rete e la porta syslog (l'impostazione predefinita è UDP 514).

                                                                                                                                                  7

                                                                                                                                                  Creare un criterio di backup sicuro per i nodi di sicurezza dei dati ibridi, il server di database e l'host syslog. Come minimo, per evitare perdite di dati non recuperabili, è necessario eseguire il backup del database e del file ISO di configurazione generato per i nodi di sicurezza dei dati ibridi.


                                                                                                                                                   

                                                                                                                                                  Poiché i nodi Hybrid Data Security memorizzano le chiavi utilizzate nella crittografia e decrittografia del contenuto, la mancata gestione di una distribuzione operativa comporterà la PERDITA IRRECUPERABILE di tale contenuto.

                                                                                                                                                  I client dell'app Webex memorizzano nella cache le proprie chiavi, pertanto un'interruzione potrebbe non essere immediatamente evidente, ma diventerà evidente nel tempo. Mentre le interruzioni temporanee sono impossibili da prevenire, sono recuperabili. Tuttavia, la perdita completa (nessun backup disponibile) del database o del file ISO di configurazione determinerà dati cliente non recuperabili. Gli operatori dei nodi di sicurezza dei dati ibridi sono tenuti a mantenere frequenti backup del database e del file ISO di configurazione, ed essere preparati a ricostruire il centro dati di sicurezza dei dati ibridi se si verifica un errore catastrofico.

                                                                                                                                                  8

                                                                                                                                                  Assicurarsi che la configurazione del firewall consenta la connettività per i nodi Hybrid Data Security come descritto nei requisiti di connettività esterna.

                                                                                                                                                  9

                                                                                                                                                  Installare il Docker ( https://www.docker.com) su qualsiasi macchina locale che esegue un sistema operativo supportato (Microsoft Windows 10 Professional o Enterprise 64 bit o Mac OSX Yosemite 10.10.3 o superiore) con un browser Web che può accedervi su http://127.0.0.1:8080.

                                                                                                                                                  Utilizzare l'istanza Docker per scaricare ed eseguire lo strumento di impostazione HDS, che crea le informazioni di configurazione locali per tutti i nodi di sicurezza dei dati ibridi. La tua organizzazione potrebbe aver bisogno di una licenza Docker Desktop. Per ulteriori informazioni, vedere Requisiti desktop docker.

                                                                                                                                                  Per installare ed eseguire lo strumento di impostazione HDS, la macchina locale deve disporre della connettività descritta nei requisiti di connettività esterna.

                                                                                                                                                  10

                                                                                                                                                  Se si sta integrando un proxy con la sicurezza dei dati ibridi, assicurarsi che soddisfi i Requisiti del server proxy.

                                                                                                                                                  11

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche, creare un gruppo in Active Directory chiamato HdsTrialGroup e aggiungere gli utenti pilota. Il gruppo di prova può contenere fino a 250 utenti. Il HdsTrialGroup oggetto deve essere sincronizzato con il cloud prima di poter avviare una versione di prova per la propria organizzazione. Per sincronizzare un oggetto di gruppo, selezionarlo in Connettore directory Configurazione > menu Selezione oggetto. (Per istruzioni dettagliate, vedere la Guida alla distribuzione per Cisco Directory Connector.)


                                                                                                                                                   

                                                                                                                                                  Le chiavi per un determinato spazio sono impostate dal creatore dello spazio. Quando si selezionano gli utenti pilota, tenere presente che se si decide di disattivare in modo permanente la distribuzione di sicurezza dei dati ibridi, tutti gli utenti perderanno l'accesso al contenuto negli spazi creati dagli utenti pilota. La perdita diventa evidente non appena le app degli utenti aggiornano le copie memorizzate nella cache del contenuto.

                                                                                                                                                  Impostazione di un cluster di sicurezza dei dati ibridi

                                                                                                                                                  Flusso attività distribuzione sicurezza dati ibridi

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Preparazione dell'ambiente

                                                                                                                                                  1

                                                                                                                                                  Scarica file di installazione

                                                                                                                                                  Scaricare il file OVA sulla macchina locale per utilizzarlo successivamente.

                                                                                                                                                  2

                                                                                                                                                  Creazione di un ISO di configurazione per gli host HDS

                                                                                                                                                  Utilizzare lo strumento di impostazione HDS per creare un file di configurazione ISO per i nodi di sicurezza dei dati ibridi.

                                                                                                                                                  3

                                                                                                                                                  Installazione del file OVA organizzatore HDS

                                                                                                                                                  Creare una macchina virtuale dal file OVA ed eseguire la configurazione iniziale, come le impostazioni di rete.


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  4

                                                                                                                                                  Impostazione della sicurezza dei dati ibridi VM

                                                                                                                                                  Accedere alla console VM e impostare le credenziali di accesso. Configura le impostazioni di rete per il nodo se non le hai configurate al momento della distribuzione OVA.

                                                                                                                                                  5

                                                                                                                                                  Caricamento e montaggio della configurazione HDS ISO

                                                                                                                                                  Configurare la VM dal file di configurazione ISO creato con lo strumento di impostazione HDS.

                                                                                                                                                  6

                                                                                                                                                  Configurazione del nodo HDS per l'integrazione proxy

                                                                                                                                                  Se l'ambiente di rete richiede la configurazione del proxy, specificare il tipo di proxy che verrà utilizzato per il nodo e aggiungere il certificato proxy all'archivio attendibilità, se necessario.

                                                                                                                                                  7

                                                                                                                                                  Registrazione del primo nodo nel cluster

                                                                                                                                                  Registrare la VM con il cloud Cisco Webex come nodo di sicurezza dei dati ibridi.

                                                                                                                                                  8

                                                                                                                                                  Creazione e registrazione di altri nodi

                                                                                                                                                  Completare l'impostazione del cluster.

                                                                                                                                                  9

                                                                                                                                                  Eseguire una versione di prova e passare alla produzione (capitolo successivo)

                                                                                                                                                  Fino a quando non si avvia una versione di prova, i nodi generano un allarme a indicare che il servizio non è ancora attivato.

                                                                                                                                                  Scarica file di installazione

                                                                                                                                                  In questa attività, è possibile scaricare un file OVA sulla macchina (non sui server configurati come nodi di sicurezza dei dati ibridi). Utilizzare questo file in seguito nel processo di installazione.
                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com, quindi fare clic su Servizi.

                                                                                                                                                  2

                                                                                                                                                  Nella sezione Servizi ibridi, trovare la scheda di sicurezza dei dati ibridi, quindi fare clic su Imposta.

                                                                                                                                                  Se la scheda è disabilitata o non viene visualizzata, contattare il team dell'account o l'organizzazione partner. Fornisci il tuo numero di account e chiedi di abilitare la sicurezza dei dati ibridi per la tua organizzazione. Per trovare il numero di account, fare clic sull'ingranaggio in alto a destra accanto al nome dell'organizzazione.


                                                                                                                                                   

                                                                                                                                                  È inoltre possibile scaricare il file OVA in qualsiasi momento dalla sezione Guida della pagina Impostazioni. Nella scheda Sicurezza dati ibridi, fare clic su Modifica impostazioni per aprire la pagina. Quindi, fare clic su Scarica software di sicurezza dati ibridi nella sezione Guida .


                                                                                                                                                   

                                                                                                                                                  Le versioni precedenti del pacchetto software (OVA) non saranno compatibili con gli ultimi aggiornamenti di sicurezza dati ibridi. Ciò può provocare problemi durante l'aggiornamento dell'applicazione. Accertarsi di scaricare l'ultima versione del file OVA.

                                                                                                                                                  3

                                                                                                                                                  Seleziona No per indicare che non hai ancora impostato il nodo, quindi fai clic su Avanti.

                                                                                                                                                  Il file OVA inizia automaticamente al download. Salvare il file in una posizione sulla macchina.
                                                                                                                                                  4

                                                                                                                                                  Opzionalmente, fare clic su Apri guida alla distribuzione per verificare se è disponibile una versione successiva di questa guida.

                                                                                                                                                  Creazione di un ISO di configurazione per gli host HDS

                                                                                                                                                  Il processo di impostazione della sicurezza dei dati ibridi crea un file ISO. Quindi, utilizzare l'ISO per configurare l'host Hybrid Data Security.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Lo strumento di impostazione HDS viene eseguito come contenitore Docker su una macchina locale. Per accedervi, eseguire Docker su tale macchina. Il processo di impostazione richiede le credenziali di un account Control Hub con diritti di amministratore completi per l'organizzazione.

                                                                                                                                                    Se lo strumento di impostazione HDS viene eseguito dietro un proxy nel proprio ambiente, fornire le impostazioni del proxy (server, porta, credenziali) attraverso le variabili di ambiente Docker quando si solleva il contenitore Docker al punto 5. Questa tabella fornisce alcune possibili variabili di ambiente:

                                                                                                                                                    Descrizione

                                                                                                                                                    Variabile

                                                                                                                                                    proxy HTTP senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS senza autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

                                                                                                                                                    proxy HTTP con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                    Proxy HTTPS con autenticazione

                                                                                                                                                    GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

                                                                                                                                                  • Il file ISO di configurazione generato contiene la chiave principale che crittografa il database PostgreSQL o Microsoft SQL Server. È necessaria l'ultima copia di questo file ogni volta che si apportano modifiche di configurazione, come queste:

                                                                                                                                                    • Credenziali del database

                                                                                                                                                    • Aggiornamenti dei certificati

                                                                                                                                                    • Modifiche ai criteri di autorizzazione

                                                                                                                                                  • Se si intende crittografare le connessioni al database, impostare la distribuzione di PostgreSQL o SQL Server per TLS.

                                                                                                                                                  1

                                                                                                                                                  Nella riga di comando della macchina, immettere il comando appropriato per l'ambiente:

                                                                                                                                                  In ambienti normali:

                                                                                                                                                  docker rmi ciscocitg/hds-setup:stable

                                                                                                                                                  In ambienti FedRAMP:

                                                                                                                                                  docker rmi ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                   

                                                                                                                                                  Questo passaggio ripulisce le immagini precedenti dello strumento di impostazione HDS. Se non sono presenti immagini precedenti, viene restituito un errore che può essere ignorato.

                                                                                                                                                  2

                                                                                                                                                  Per accedere al registro immagini Docker, immettere quanto segue:

                                                                                                                                                  docker login -u hdscustomersro
                                                                                                                                                  3

                                                                                                                                                  Alla richiesta della password, immettere questo hash:

                                                                                                                                                  dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
                                                                                                                                                  4

                                                                                                                                                  Scaricare l'immagine stabile più recente per il proprio ambiente:

                                                                                                                                                  In ambienti normali:

                                                                                                                                                  docker pull ciscocitg/hds-setup:stable

                                                                                                                                                  In ambienti FedRAMP:

                                                                                                                                                  docker pull ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  5

                                                                                                                                                  Al termine del pull, immettere il comando appropriato per l'ambiente:

                                                                                                                                                  • In ambienti normali senza proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti normali con un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti normali con un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable
                                                                                                                                                  • In ambienti FedRAMP senza proxy:

                                                                                                                                                    docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • In ambienti FedRAMP con un proxy HTTP:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable
                                                                                                                                                  • In ambienti FedRAMP con un proxy HTTPS:

                                                                                                                                                    docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

                                                                                                                                                  Quando il contenitore è in esecuzione, viene visualizzato il messaggio "server Express in attesa sulla porta 8080".

                                                                                                                                                  6

                                                                                                                                                   

                                                                                                                                                  Lo strumento Imposta non supporta la connessione a localhost tramite http://localhost:8080. Usa http://127.0.0.1:8080 per connetterti a localhost.

                                                                                                                                                  Utilizzare un browser Web per passare all'host locale, http://127.0.0.1:8080 e immettere il nome utente di amministrazione cliente per Control Hub al prompt.

                                                                                                                                                  Lo strumento utilizza questa prima voce del nome utente per impostare l'ambiente appropriato per tale account. Lo strumento visualizza la richiesta di accesso standard.

                                                                                                                                                  7

                                                                                                                                                  Quando richiesto, inserisci le credenziali di accesso amministratore cliente Control Hub, quindi fai clic su Accedi per consentire l'accesso ai servizi richiesti per la sicurezza dei dati ibridi.

                                                                                                                                                  8

                                                                                                                                                  Nella pagina di panoramica dello Strumento di impostazione, fare clic su Introduzione.

                                                                                                                                                  9

                                                                                                                                                  Nella pagina Importazione ISO sono disponibili le seguenti opzioni:

                                                                                                                                                  • No: se stai creando il tuo primo nodo HDS, non disponi di un file ISO da caricare.
                                                                                                                                                  • : se sono già stati creati nodi HDS, selezionare il file ISO nel browser e caricarlo.
                                                                                                                                                  10

                                                                                                                                                  Verificare che il certificato X.509 soddisfi i requisiti di Requisiti di certificato X.509.

                                                                                                                                                  • Se non è mai stato caricato un certificato prima, caricare il certificato X.509, immettere la password e fare clic su Continua.
                                                                                                                                                  • Se il certificato è OK, fare clic su Continua.
                                                                                                                                                  • Se il certificato è scaduto o si desidera sostituirlo, selezionare No per Continua a utilizzare la catena di certificati HDS e la chiave privata della precedente ISO?. Caricare un nuovo certificato X.509, immettere la password e fare clic su Continua.
                                                                                                                                                  11

                                                                                                                                                  Inserire l'indirizzo del database e l'account per HDS per accedere al datastore della chiave:

                                                                                                                                                  1. Selezionare il tipo di database (PostgreSQL o Microsoft SQL Server).

                                                                                                                                                    Se si sceglie Microsoft SQL Server, viene visualizzato un campo Tipo di autenticazione.

                                                                                                                                                  2. (solo Microsoft SQL Server) Selezionare il tipo di autenticazione:

                                                                                                                                                    • Autenticazione di base: È necessario un nome di account SQL Server locale nel campo Nome utente.

                                                                                                                                                    • Autenticazione di Windows: È necessario un account Windows nel formato username@DOMAIN nel campo Nome utente.

                                                                                                                                                  3. Immettere l'indirizzo del server del database nel modulo <hostname>:<port> o <IP-address>:<port>.

                                                                                                                                                    Esempio:
                                                                                                                                                    dbhost.example.org:1433 o 198.51.100.17:1433

                                                                                                                                                    È possibile utilizzare un indirizzo IP per l'autenticazione di base, se i nodi non possono utilizzare il DNS per risolvere il nome host.

                                                                                                                                                    Se si utilizza l'autenticazione Windows, è necessario immettere un nome di dominio completo nel formato dbhost.example.org:1433

                                                                                                                                                  4. Immettere il nome del database.

                                                                                                                                                  5. Immettere il nome utente e la password di un utente con tutti i privilegi nel database di storage dei tasti.

                                                                                                                                                  12

                                                                                                                                                  Selezionare una modalità di connessione al database TLS:

                                                                                                                                                  Mode

                                                                                                                                                  Descrizione

                                                                                                                                                  Preferire TLS (opzione predefinita)

                                                                                                                                                  I nodi HDS non richiedono che TLS si connetta al server del database. Se si abilita TLS sul server del database, i nodi tentano una connessione crittografata.

                                                                                                                                                  Richiedi TLS

                                                                                                                                                  I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  Require TLS e verificare il firmatario del certificato


                                                                                                                                                   

                                                                                                                                                  Questa modalità non è applicabile ai database del server SQL.

                                                                                                                                                  • I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  • Dopo aver stabilito una connessione TLS, il nodo confronta il firmatario del certificato dal server del database con l'autorità di certificazione nel certificato principale del database. Se non corrispondono, il nodo interrompe la connessione.

                                                                                                                                                  Utilizzare il certificato radice database sotto l'elenco a discesa per caricare il certificato radice per questa opzione.

                                                                                                                                                  Require TLS e verificare il firmatario del certificato e il nome host

                                                                                                                                                  • I nodi HDS si connettono solo se il server del database è in grado di negoziare TLS.

                                                                                                                                                  • Dopo aver stabilito una connessione TLS, il nodo confronta il firmatario del certificato dal server del database con l'autorità di certificazione nel certificato principale del database. Se non corrispondono, il nodo interrompe la connessione.

                                                                                                                                                  • I nodi verificano anche che il nome host nel certificato del server corrisponda al nome host nel campo Host database e porta. I nomi devono corrispondere esattamente oppure il nodo interrompe la connessione.

                                                                                                                                                  Utilizzare il certificato radice database sotto l'elenco a discesa per caricare il certificato radice per questa opzione.

                                                                                                                                                  Quando si carica il certificato radice (se necessario) e si fa clic su Continua, lo strumento di impostazione HDS verifica la connessione TLS al server del database. Lo strumento verifica anche il firmatario del certificato e il nome host, se applicabile. Se un test non viene superato, lo strumento visualizza un messaggio di errore descrive il problema. È possibile scegliere di ignorare l'errore e continuare con l'impostazione. A causa delle differenze di connettività, i nodi HDS potrebbero essere in grado di stabilire la connessione TLS anche se la macchina dello strumento di impostazione HDS non può testarla correttamente.

                                                                                                                                                  13

                                                                                                                                                  Nella pagina Registri di sistema, configurare il server Syslogd:

                                                                                                                                                  1. Immettere l'URL del server syslog.

                                                                                                                                                    Se il server non è risolvibile con DNS dai nodi per il cluster HDS, utilizzare un indirizzo IP nell'URL.

                                                                                                                                                    Esempio:
                                                                                                                                                    udp://10.92.43.23:514 indica l'accesso all'host Syslogd 10.92.43.23 sulla porta UDP 514.
                                                                                                                                                  2. Se si imposta il server per utilizzare la crittografia TLS, verificare che Il server syslog sia configurato per la crittografia SSL?.

                                                                                                                                                    Se si seleziona questa casella di controllo, accertarsi di inserire un URL TCP come tcp://10.92.43.23:514.

                                                                                                                                                  3. Dal menu a discesa Scegli terminazione record syslog, scegli l'impostazione appropriata per il tuo file ISO: Scegli o Newline viene utilizzato per Graylog e Rsyslog TCP

                                                                                                                                                    • Byte nullo -- \x00

                                                                                                                                                    • Newline -- \n—Selezionare questa scelta per Graylog e Rsyslog TCP.

                                                                                                                                                  4. Fare clic su Continua.

                                                                                                                                                  14

                                                                                                                                                  (Opzionale) È possibile modificare il valore predefinito per alcuni parametri di connessione al database in Impostazioni avanzate. In generale, questo parametro è l'unico parametro che si potrebbe voler modificare:

                                                                                                                                                  app_datasource_connection_pool_maxSize: 10
                                                                                                                                                  15

                                                                                                                                                  Fare clic su Continua nella schermata Reimposta password account di servizio.

                                                                                                                                                  Le password degli account di servizio hanno una durata di nove mesi. Utilizzare questa schermata quando le password sono prossime alla scadenza o si desidera reimpostarle per invalidare i file ISO precedenti.

                                                                                                                                                  16

                                                                                                                                                  Fare clic su Scarica file ISO. Salva il file in una posizione facile da trovare.

                                                                                                                                                  17

                                                                                                                                                  Eseguire una copia di backup del file ISO sul sistema locale.

                                                                                                                                                  Mantieni protetta la copia di backup. Questo file contiene una chiave di crittografia principale per il contenuto del database. Limita l'accesso solo agli amministratori della sicurezza dei dati ibridi che devono apportare modifiche alla configurazione.

                                                                                                                                                  18

                                                                                                                                                  Per chiudere lo strumento di installazione, digitare CTRL+C.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Eseguire il backup del file ISO di configurazione. È necessario creare più nodi per il ripristino o apportare modifiche alla configurazione. Se si perdono tutte le copie del file ISO, si perde anche la chiave principale. Non è possibile recuperare le chiavi dal database PostgreSQL o Microsoft SQL Server.


                                                                                                                                                   

                                                                                                                                                  Non abbiamo mai una copia di questa chiave e non possiamo aiutarti se la perdi.

                                                                                                                                                  Installazione del file OVA organizzatore HDS

                                                                                                                                                  Utilizzare questa procedura per creare una macchina virtuale dal file OVA.
                                                                                                                                                  1

                                                                                                                                                  Utilizzare il client VMware vSphere sul computer per accedere all'host virtuale ESXi.

                                                                                                                                                  2

                                                                                                                                                  Selezionare File > Distribuisci modello OVF.

                                                                                                                                                  3

                                                                                                                                                  Nella procedura guidata, specificare la posizione del file OVA scaricato in precedenza, quindi fare clic su Successivo.

                                                                                                                                                  4

                                                                                                                                                  Il Seleziona un nome e una cartella pagina , inserisci un Nome macchina virtuale per il nodo (ad esempio, "HDS_Node_1"), scegliere una posizione in cui può risiedere la distribuzione del nodo della macchina virtuale, quindi fare clic su Successivo.

                                                                                                                                                  5

                                                                                                                                                  Il Seleziona una risorsa di calcolo pagina , scegliere la risorsa di calcolo della destinazione, quindi fare clic su Successivo.

                                                                                                                                                  Viene eseguito un controllo di convalida. Al termine, vengono visualizzati i dettagli del modello.

                                                                                                                                                  6

                                                                                                                                                  Verificare i dettagli del modello, quindi fare clic su Avanti.

                                                                                                                                                  7

                                                                                                                                                  Se viene richiesto di scegliere la configurazione delle risorse in Configurazione pagina , fare clic su 4 CPU e fare clic su Successivo.

                                                                                                                                                  8

                                                                                                                                                  Il Seleziona storage pagina , fare clic su Successivo per accettare il formato di disco predefinito e i criteri di storage della VM.

                                                                                                                                                  9

                                                                                                                                                  Il Seleziona reti, scegliere l'opzione di rete dall'elenco di voci per fornire la connettività desiderata alla VM.

                                                                                                                                                  10

                                                                                                                                                  Nella pagina Personalizza modello, configurare le seguenti impostazioni di rete:

                                                                                                                                                  • Nome host: inserisci il nome host FQDN (nome host e dominio) o un nome host di singola parola per il nodo.

                                                                                                                                                     
                                                                                                                                                    • Non è necessario impostare il dominio in base al dominio utilizzato per ottenere il certificato X.509.

                                                                                                                                                    • Per garantire una registrazione corretta nel cloud, utilizza solo caratteri minuscoli nel nome host o FQDN impostato per il nodo. La capitalizzazione non è attualmente supportata.

                                                                                                                                                    • La lunghezza totale del nome di dominio completo non deve superare 64 caratteri.

                                                                                                                                                  • Indirizzo IP: immettere l'indirizzo IP per l'interfaccia interna del nodo.

                                                                                                                                                     

                                                                                                                                                    Il nodo deve disporre di un indirizzo IP interno e di un nome DNS. DHCP non è supportato.

                                                                                                                                                  • Maschera: immettere l'indirizzo della subnet mask in notazione dot decimale. ad esempio, 255.255.255.0.
                                                                                                                                                  • Gateway: immettere l'indirizzo IP del gateway. Un gateway è un nodo di rete che funge da punto di accesso a un'altra rete.
                                                                                                                                                  • Server DNS: immettere un elenco separato da virgole di server DNS, che gestiscono la traduzione dei nomi di dominio in indirizzi IP numerici. (Sono consentite fino a 4 voci DNS).
                                                                                                                                                  • Server NTP: inserire il server NTP della propria organizzazione o un altro server NTP esterno che può essere utilizzato nella propria organizzazione. I server NTP predefiniti potrebbero non funzionare per tutte le aziende. È inoltre possibile utilizzare un elenco separato da virgole per immettere più server NTP.
                                                                                                                                                  • Distribuire tutti i nodi sulla stessa subnet o VLAN, in modo che tutti i nodi in un cluster siano raggiungibili dai client nella rete per scopi amministrativi.

                                                                                                                                                  Se si preferisce, è possibile ignorare la configurazione delle impostazioni di rete e seguire la procedura riportata in Imposta la sicurezza dei dati ibridi VM per configurare le impostazioni dalla console del nodo.


                                                                                                                                                   

                                                                                                                                                  L'opzione per configurare le impostazioni di rete durante la distribuzione OVA è stata testata con ESXi 6.5. L'opzione potrebbe non essere disponibile nelle versioni precedenti.

                                                                                                                                                  11

                                                                                                                                                  Fare clic con il pulsante destro del mouse sulla VM del nodo, quindi scegliere Alimentazione > Accensione.

                                                                                                                                                  Il software di sicurezza dei dati ibridi è installato come ospite sull'host VM. A questo punto, è possibile accedere alla console e configurare il nodo.

                                                                                                                                                  Suggerimenti per la risoluzione dei problemi

                                                                                                                                                  È possibile che si verifichi un ritardo di alcuni minuti prima che i contenitori del nodo salgano. Un messaggio del firewall bridge viene visualizzato sulla console durante il primo avvio, durante il quale non è possibile accedere.

                                                                                                                                                  Impostazione della sicurezza dei dati ibridi VM

                                                                                                                                                  Utilizzare questa procedura per accedere per la prima volta alla console VM del nodo Hybrid Data Security e impostare le credenziali di accesso. È inoltre possibile utilizzare la console per configurare le impostazioni di rete per il nodo se non sono state configurate al momento della distribuzione OVA.

                                                                                                                                                  1

                                                                                                                                                  Nel client VMware vSphere, selezionare il nodo Hybrid Data Security VM e selezionare la scheda Console.

                                                                                                                                                  La VM si avvia e viene visualizzata una richiesta di accesso. Se il prompt di accesso non viene visualizzato, premere Invio.
                                                                                                                                                  2

                                                                                                                                                  Per accedere e modificare le credenziali, utilizzare le seguenti credenziali predefinite:

                                                                                                                                                  1. Login: admin

                                                                                                                                                  2. Password: cisco

                                                                                                                                                  Poiché si esegue l'accesso alla VM per la prima volta, è necessario modificare la password dell'amministratore.

                                                                                                                                                  3

                                                                                                                                                  Se sono già state configurate le impostazioni di rete in Install the HDS Host OVA, ignorare il resto di questa procedura. Altrimenti, nel menu principale, selezionare l'opzione Modifica configurazione.

                                                                                                                                                  4

                                                                                                                                                  Impostare una configurazione statica con indirizzo IP, maschera, gateway e informazioni DNS. Il nodo deve disporre di un indirizzo IP interno e di un nome DNS. DHCP non è supportato.

                                                                                                                                                  5

                                                                                                                                                  (Opzionale) Modificare il nome host, il dominio o i server NTP, se necessario per corrispondere ai criteri di rete.

                                                                                                                                                  Non è necessario impostare il dominio in base al dominio utilizzato per ottenere il certificato X.509.

                                                                                                                                                  6

                                                                                                                                                  Salvare la configurazione della rete e riavviare la VM in modo che le modifiche abbiano effetto.

                                                                                                                                                  Caricamento e montaggio della configurazione HDS ISO

                                                                                                                                                  Utilizzare questa procedura per configurare la macchina virtuale dal file ISO creato con lo strumento di impostazione HDS.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Poiché il file ISO contiene la chiave principale, deve essere esposto solo in base alla necessità di sapere, per l'accesso da parte delle VM di sicurezza dei dati ibridi e di qualsiasi amministratore che potrebbe aver bisogno di apportare modifiche. Accertarsi che solo gli amministratori possano accedere al datastore.

                                                                                                                                                  1

                                                                                                                                                  Caricare il file ISO dal computer:

                                                                                                                                                  1. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul server ESXi.

                                                                                                                                                  2. Nell'elenco hardware della scheda Configurazione, fare clic su Storage.

                                                                                                                                                  3. Nell'elenco dei datastore, fare clic con il pulsante destro del mouse sul datastore delle macchine virtuali e fare clic su Sfoglia datastore.

                                                                                                                                                  4. Fare clic sull’icona Carica file, quindi fare clic su Carica file.

                                                                                                                                                  5. Individuare la posizione in cui è stato scaricato il file ISO sul computer e fare clic su Apri.

                                                                                                                                                  6. Fare clic su per accettare l'avviso di caricamento/download e chiudere la finestra di dialogo del datastore.

                                                                                                                                                  2

                                                                                                                                                  Montare il file ISO:

                                                                                                                                                  1. Nel riquadro di navigazione a sinistra del client VMware vSphere, fare clic sul pulsante destro del mouse sulla macchina virtuale, quindi fare clic su Modifica impostazioni.

                                                                                                                                                  2. Fare clic su OK per accettare l'avviso delle opzioni di modifica limitate.

                                                                                                                                                  3. Fare clic CD/DVD Drive 1, selezionare l'opzione per il montaggio da un file ISO datastore e passare alla posizione in cui è stato caricato il file ISO di configurazione.

                                                                                                                                                  4. Controllare Connesso e Connetti all'accensione.

                                                                                                                                                  5. Salvare le modifiche e riavviare la macchina virtuale.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Se i criteri IT lo richiedono, è possibile smontare opzionalmente il file ISO dopo che tutti i nodi rilevano le modifiche di configurazione. Per ulteriori informazioni, vedere (Opzionale) Smontaggio dell'ISO dopo la configurazione HDS.

                                                                                                                                                  Configurazione del nodo HDS per l'integrazione proxy

                                                                                                                                                  Se l'ambiente di rete richiede un proxy, utilizzare questa procedura per specificare il tipo di proxy che si desidera integrare con la sicurezza dei dati ibridi. Se si sceglie un proxy di ispezione trasparente o un proxy esplicito HTTPS, è possibile utilizzare l'interfaccia del nodo per caricare e installare il certificato radice. È inoltre possibile controllare la connessione del proxy dall'interfaccia e risolvere eventuali problemi.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  1

                                                                                                                                                  Inserisci l'URL di impostazione del nodo HDS https://[HDS Node IP or FQDN]/setup in un browser Web, immettere le credenziali di amministrazione impostate per il nodo, quindi fare clic su Accedi.

                                                                                                                                                  2

                                                                                                                                                  Vai su Trust Store & Proxy, quindi scegli un'opzione:

                                                                                                                                                  • Nessun proxy: opzione predefinita prima dell'integrazione di un proxy. Nessun aggiornamento del certificato richiesto.
                                                                                                                                                  • Proxy non ispezionato trasparente: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non devono richiedere modifiche per lavorare con un proxy non ispezionato. Nessun aggiornamento del certificato richiesto.
                                                                                                                                                  • Proxy con ispezione trasparente: i nodi non sono configurati per utilizzare un indirizzo del server proxy specifico. Nessuna modifica alla configurazione HTTPS è necessaria nella distribuzione di Hybrid Data Security; tuttavia, i nodi HDS necessitano di un certificato radice in modo che si fidino del proxy. Le deleghe di ispezione vengono solitamente utilizzate dal reparto IT per attuare politiche su cui i siti web possono essere visitati e su quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).
                                                                                                                                                  • Proxy esplicito: con il proxy esplicito, indicare al client (nodi HDS) quale server proxy utilizzare e questa opzione supporta diversi tipi di autenticazione. Una volta scelta questa opzione, è necessario immettere le seguenti informazioni:
                                                                                                                                                    1. IP/FQDN proxy: indirizzo che può essere utilizzato per raggiungere la macchina proxy.

                                                                                                                                                    2. Porta proxy: un numero di porta utilizzato dal proxy per ascoltare il traffico proxy.

                                                                                                                                                    3. Protocollo proxy: selezionare http (visualizza e controlla tutte le richieste ricevute dal client) o https (fornisce un canale al server e il client riceve e convalida il certificato del server). Scegliere un'opzione in base a quanto supportato dal server proxy.

                                                                                                                                                    4. Tipo di autenticazione: scegliere uno dei seguenti tipi di autenticazione:

                                                                                                                                                      • Nessuno: non è richiesta alcuna ulteriore autenticazione.

                                                                                                                                                        Disponibile per i proxy HTTP o HTTPS.

                                                                                                                                                      • Base: utilizzato per un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

                                                                                                                                                        Disponibile per i proxy HTTP o HTTPS.

                                                                                                                                                        Se si sceglie questa opzione, è necessario immettere anche il nome utente e la password.

                                                                                                                                                      • Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e la password prima dell'invio tramite la rete.

                                                                                                                                                        Disponibile solo per proxy HTTPS.

                                                                                                                                                        Se si sceglie questa opzione, è necessario immettere anche il nome utente e la password.

                                                                                                                                                  Seguire i passaggi successivi per un proxy di ispezione trasparente, un proxy esplicito HTTP con autenticazione di base o un proxy esplicito HTTPS.

                                                                                                                                                  3

                                                                                                                                                  Fare clic su Carica un certificato radice o un certificato dell'entità finale, quindi selezionare il certificato radice per il proxy.

                                                                                                                                                  Il certificato viene caricato ma non ancora installato poiché è necessario riavviare il nodo per installare il certificato. Fare clic sulla freccia chevron accanto al nome dell'emittente del certificato per ottenere ulteriori dettagli oppure fare clic su Elimina se si è commesso un errore e si desidera ricaricare il file.

                                                                                                                                                  4

                                                                                                                                                  Fare clic su Verifica connessione proxy per verificare la connettività di rete tra il nodo e il proxy.

                                                                                                                                                  Se il test di connessione non riesce, viene visualizzato un messaggio di errore che mostra il motivo e come è possibile correggere il problema.

                                                                                                                                                  Se viene visualizzato un messaggio che indica che la risoluzione DNS esterna non è riuscita, il nodo non è stato in grado di raggiungere il server DNS. Questa condizione è prevista in molte configurazioni proxy esplicite. È possibile continuare con l'impostazione e il nodo funzionerà in modalità di risoluzione DNS esterna bloccata. Se si ritiene che si tratti di un errore, completare questa procedura, quindi vedere Disattivazione della modalità di risoluzione DNS esterna bloccata.

                                                                                                                                                  5

                                                                                                                                                  Una volta superato il test di connessione, per il proxy esplicito impostato solo su https, attivare il tasto di alternanza Indirizza tutte le richieste https della porta 443/444 da questo nodo attraverso il proxy esplicito. Questa impostazione richiede 15 secondi per avere effetto.

                                                                                                                                                  6

                                                                                                                                                  Fare clic su Installa tutti i certificati nell'archivio attendibilità (viene visualizzato per un proxy esplicito HTTPS o un proxy di ispezione trasparente) o su Riavvia (viene visualizzato per un proxy esplicito HTTP), leggere il prompt, quindi fare clic su Installa se si è pronti.

                                                                                                                                                  Il nodo si riavvia entro pochi minuti.

                                                                                                                                                  7

                                                                                                                                                  Una volta riavviato il nodo, eseguire di nuovo l'accesso, se necessario, quindi aprire la pagina Panoramica per controllare i controlli di connettività e assicurarsi che siano tutti in stato verde.

                                                                                                                                                  Il controllo della connessione proxy verifica solo un sottodominio di webex.com. Se si verificano problemi di connettività, un problema comune è che alcuni dei domini cloud elencati nelle istruzioni di installazione vengono bloccati sul proxy.

                                                                                                                                                  Registrazione del primo nodo nel cluster

                                                                                                                                                  Questa attività prende il nodo generico creato in Imposta VM di sicurezza dei dati ibridi, registra il nodo con il cloud Webex e lo trasforma in un nodo di sicurezza dei dati ibridi.

                                                                                                                                                  Quando registri il primo nodo, crei un cluster a cui è assegnato il nodo. Un cluster contiene uno o più nodi distribuiti per fornire ridondanza.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Una volta iniziata la registrazione di un nodo, è necessario completarlo entro 60 minuti o iniziare da capo.

                                                                                                                                                  • Accertarsi che eventuali blocchi popup nel browser siano disabilitati o che sia consentita un'eccezione per admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com.

                                                                                                                                                  2

                                                                                                                                                  Dal menu sul lato sinistro della schermata, selezionare Servizi.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Servizi ibridi, trovare Sicurezza dati ibridi e fare clic su Imposta.

                                                                                                                                                  Viene visualizzata la pagina Registra nodo sicurezza dati ibridi.
                                                                                                                                                  4

                                                                                                                                                  Seleziona per indicare che hai impostato il nodo e che sei pronto a registrarlo, quindi fai clic su Avanti.

                                                                                                                                                  5

                                                                                                                                                  Nel primo campo, immettere un nome per il cluster a cui si desidera assegnare il nodo di sicurezza dei dati ibridi.

                                                                                                                                                  Si consiglia di assegnare un nome a un cluster in base alla posizione geografica dei nodi del cluster. Esempi: "San Francisco" o "New York" o "Dallas"

                                                                                                                                                  6

                                                                                                                                                  Nel secondo campo, immettere l'indirizzo IP interno o il nome di dominio completo del nodo e fare clic su Avanti.

                                                                                                                                                  Questo indirizzo IP o FQDN deve corrispondere all'indirizzo IP o al nome host e al dominio utilizzati in Impostazione della VM di sicurezza dei dati ibridi.

                                                                                                                                                  Viene visualizzato un messaggio che indica che è possibile registrare il nodo su Webex.
                                                                                                                                                  7

                                                                                                                                                  Fare clic su Vai a nodo.

                                                                                                                                                  8

                                                                                                                                                  Fare clic su Continua nel messaggio di avviso.

                                                                                                                                                  Dopo alcuni istanti, si viene reindirizzati ai test di connettività del nodo per i servizi Webex. Se tutti i test vengono eseguiti correttamente, viene visualizzata la pagina Consenti accesso al nodo di sicurezza dei dati ibridi. Qui, confermi di voler concedere le autorizzazioni alla tua organizzazione Webex per accedere al nodo.
                                                                                                                                                  9

                                                                                                                                                  Selezionare la casella di controllo Consenti accesso al nodo di sicurezza dei dati ibridi, quindi fare clic su Continua.

                                                                                                                                                  L'account viene convalidato e il messaggio "Registrazione completa" indica che il nodo è ora registrato nel cloud Webex.
                                                                                                                                                  10

                                                                                                                                                  Fare clic sul collegamento o chiudere la scheda per tornare alla pagina Sicurezza dei dati ibridi di Control Hub.

                                                                                                                                                  Nella pagina Sicurezza dati ibridi, viene visualizzato il nuovo cluster contenente il nodo registrato. Il nodo scaricherà automaticamente l'ultimo software dal cloud.

                                                                                                                                                  Creazione e registrazione di altri nodi

                                                                                                                                                  Per aggiungere altri nodi al cluster, è sufficiente creare ulteriori VM e montare lo stesso file ISO di configurazione, quindi registrare il nodo. Si consiglia di avere almeno 3 nodi.

                                                                                                                                                   

                                                                                                                                                  In questo momento, le VM di backup create in Completa i prerequisiti per la sicurezza dei dati ibridi sono host standby utilizzati solo in caso di ripristino di emergenza; fino a quel momento non sono registrati nel sistema. Per informazioni dettagliate, vedere Ripristino di emergenza utilizzando il centro dati standby.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Una volta iniziata la registrazione di un nodo, è necessario completarlo entro 60 minuti o iniziare da capo.

                                                                                                                                                  • Accertarsi che eventuali blocchi popup nel browser siano disabilitati o che sia consentita un'eccezione per admin.webex.com.

                                                                                                                                                  1

                                                                                                                                                  Creare una nuova macchina virtuale dal file OVA, ripetendo le operazioni descritte in Installazione del file OVA host HDS.

                                                                                                                                                  2

                                                                                                                                                  Impostare la configurazione iniziale sulla nuova VM, ripetendo i passaggi in Imposta la sicurezza dei dati ibridi VM.

                                                                                                                                                  3

                                                                                                                                                  Nella nuova VM, ripetere le operazioni riportate in Upload and Mount the HDS Configuration ISO.

                                                                                                                                                  4

                                                                                                                                                  Se si sta impostando un proxy per la distribuzione, ripetere i passaggi in Configura il nodo HDS per l'integrazione proxy come necessario per il nuovo nodo.

                                                                                                                                                  5

                                                                                                                                                  Registrare il nodo.

                                                                                                                                                  1. In https://admin.webex.com, selezionare Servizi dal menu sul lato sinistro dello schermo.

                                                                                                                                                  2. Nella sezione Hybrid Services (Servizi ibridi), trovare la scheda Hybrid Data Security (Sicurezza dati ibridi) e fare clic su Resources (Risorse).

                                                                                                                                                    Viene visualizzata la pagina Risorse sicurezza dati ibridi.
                                                                                                                                                  3. Fare clic su Aggiungi risorsa.

                                                                                                                                                  4. Nel primo campo, selezionare il nome del cluster esistente.

                                                                                                                                                  5. Nel secondo campo, immettere l'indirizzo IP interno o il nome di dominio completo del nodo e fare clic su Avanti.

                                                                                                                                                    Viene visualizzato un messaggio che indica che è possibile registrare il nodo sul cloud Webex.
                                                                                                                                                  6. Fare clic su Vai a nodo.

                                                                                                                                                    Dopo alcuni istanti, si viene reindirizzati ai test di connettività del nodo per i servizi Webex. Se tutti i test vengono eseguiti correttamente, viene visualizzata la pagina Consenti accesso al nodo di sicurezza dei dati ibridi. Qui, confermi di voler concedere le autorizzazioni alla tua organizzazione per accedere al tuo nodo.
                                                                                                                                                  7. Selezionare la casella di controllo Consenti accesso al nodo di sicurezza dei dati ibridi, quindi fare clic su Continua.

                                                                                                                                                    L'account viene convalidato e il messaggio "Registrazione completa" indica che il nodo è ora registrato nel cloud Webex.
                                                                                                                                                  8. Fare clic sul collegamento o chiudere la scheda per tornare alla pagina Sicurezza dei dati ibridi di Control Hub.

                                                                                                                                                  Il nodo è registrato. Tenere presente che fino all'avvio di una versione di prova, i nodi generano un allarme a indicare che il servizio non è ancora attivato.

                                                                                                                                                  Operazioni successive

                                                                                                                                                  Eseguire una versione di prova e passare alla produzione (capitolo successivo)
                                                                                                                                                  Eseguire una versione di prova e passare alla produzione

                                                                                                                                                  Flusso attività da prova a produzione

                                                                                                                                                  Dopo aver impostato un cluster di sicurezza dei dati ibridi, è possibile avviare un pilota, aggiungere utenti e iniziare a utilizzarlo per testare e verificare la distribuzione in preparazione del passaggio alla produzione.

                                                                                                                                                  1

                                                                                                                                                  Se applicabile, sincronizzare il HdsTrialGroup oggetto di gruppo.

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche per gli utenti, è necessario selezionare HdsTrialGroup raggruppa l'oggetto per la sincronizzazione al cloud prima di avviare una versione di prova. Per istruzioni, consultare la Guida alla distribuzione di Connettore directory Cisco.

                                                                                                                                                  2

                                                                                                                                                  Attiva versione di prova

                                                                                                                                                  Avviare una prova. Fino a quando non si esegue questa attività, i nodi generano un allarme che indica che il servizio non è ancora attivato.

                                                                                                                                                  3

                                                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Verificare che le richieste chiave passino alla distribuzione di Hybrid Data Security.

                                                                                                                                                  4

                                                                                                                                                  Monitoraggio della salute della sicurezza dei dati ibridi

                                                                                                                                                  Controllare lo stato e impostare notifiche e-mail per gli allarmi.

                                                                                                                                                  5

                                                                                                                                                  Aggiunta o rimozione di utenti dalla versione di prova

                                                                                                                                                  6

                                                                                                                                                  Completare la fase trial con una delle seguenti azioni:

                                                                                                                                                  Attiva versione di prova

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  Se la propria organizzazione utilizza la sincronizzazione delle rubriche per gli utenti, è necessario selezionare HdsTrialGroup raggruppa l'oggetto per la sincronizzazione al cloud prima di poter avviare una versione di prova per la propria organizzazione. Per istruzioni, consultare la Guida alla distribuzione di Connettore directory Cisco.

                                                                                                                                                  1

                                                                                                                                                  Accedere a https://admin.webex.com, quindi selezionare Servizi.

                                                                                                                                                  2

                                                                                                                                                  In Sicurezza dati ibridi, fai clic su Impostazioni.

                                                                                                                                                  3

                                                                                                                                                  Nella sezione Stato servizio, fare clic su Avvia versione di prova.

                                                                                                                                                  Lo stato del servizio cambia in modalità di prova.
                                                                                                                                                  4

                                                                                                                                                  Fai clic su Aggiungi utenti e inserisci l'indirizzo e-mail di uno o più utenti da pilotare utilizzando i nodi Hybrid Data Security per crittografare e indicizzare i servizi.

                                                                                                                                                  (Se la propria organizzazione utilizza la sincronizzazione delle rubriche, utilizzare Active Directory per gestire il gruppo di prova, HdsTrialGroup.)

                                                                                                                                                  Verifica della distribuzione della sicurezza dei dati ibridi

                                                                                                                                                  Utilizzare questa procedura per testare gli scenari di crittografia della sicurezza dei dati ibridi.

                                                                                                                                                  Operazioni preliminari

                                                                                                                                                  • Impostare la distribuzione di sicurezza dei dati ibridi.

                                                                                                                                                  • Attivare la versione di prova e aggiungere diversi utenti di prova.

                                                                                                                                                  • Assicurarsi di avere accesso al registro di sistema per verificare che le richieste chiave vengano trasferite alla distribuzione di Hybrid Data Security.

                                                                                                                                                  1

                                                                                                                                                  Le chiavi per un determinato spazio sono impostate dal creatore dello spazio. Accedi all'app Webex come uno degli utenti pilota, quindi crea uno spazio e invita almeno un utente pilota e un utente non pilota.


                                                                                                                                                   

                                                                                                                                                  Se si disattiva la distribuzione di sicurezza dei dati ibridi, il contenuto negli spazi creati dagli utenti pilota non sarà più accessibile una volta sostituite le copie memorizzate nella cache del client delle chiavi di crittografia.

                                                                                                                                                  2

                                                                                                                                                  Invia messaggi al nuovo spazio.

                                                                                                                                                  3

                                                                                                                                                  Selezionare l'output syslog per verificare che le richieste chiave passino alla distribuzione di Hybrid Data Security.

                                                                                                                                                  1. Per verificare se un utente stabilisce prima un canale sicuro per il KMS, filtrare su kms.data.method=create e kms.data.type=EPHEMERAL_KEY_COLLECTION:

                                                                                                                                                    Si dovrebbe trovare una voce come quella che segue (identificativi più brevi per la leggibilità):
                                                                                                                                                    2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2
                                                                                                                                                  2. Per verificare la presenza di un utente che richiede una chiave esistente da KMS, filtrare su kms.data.method=retrieve e kms.data.type=KEY:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
                                                                                                                                                    kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
                                                                                                                                                    kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b
                                                                                                                                                  3. Per verificare la presenza di un utente che richiede la creazione di una nuova chiave KMS, filtrare su kms.data.method=create e kms.data.type=KEY_COLLECTION:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
                                                                                                                                                    kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b
                                                                                                                                                  4. Per verificare la presenza di un utente che richiede la creazione di un nuovo oggetto risorse KMS (KRO) quando viene creato uno spazio o un'altra risorsa protetta, filtrare su kms.data.method=create e kms.data.type=RESOURCE_COLLECTION:

                                                                                                                                                    È necessario trovare una voce come:
                                                                                                                                                    2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
                                                                                                                                                    deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
                                                                                                                                                    (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
                                                                                                                                                    kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
                                                                                                                                                    kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

                                                                                                                                                  Monitoraggio della salute della sicurezza dei dati ibridi

                                                                                                                                                  Un indicatore di stato all'interno di Control Hub mostra se tutto funziona correttamente con la distribuzione di Hybrid Data Security. Per avvisi più proattivi, iscriviti per le notifiche e-mail. Verrai informato quando sono presenti allarmi con impatto sul servizio o aggiornamenti software.
                                                                                                                                                  1

                                                                                                                                                  In