- ホーム
- /
- 投稿記事
コメントありがとうございます。
Webex ハイブリッド データ セキュリティ展開ガイド
この記事の内容
フィードバックがある場合新規および変更された情報
日付 | 変更履歴 | ||
|---|---|---|---|
2023年10月20日。 |
| ||
2023年8月7日。 |
| ||
2023年5月23日。 |
| ||
2022 年 12 月 06 日 |
| ||
2022年11月23日。 |
| ||
2021 年 10 月 13 日 | HDS ノードをインストールする前に、Docker Desktop でセットアッププログラムを実行する必要があります。 Docker デスクトップの要件を参照してください。 | ||
2017 年 6 月 24 日 | 秘密鍵ファイルと CSR を再使用して別の証明書を要求できることに注意してください。 詳細については、「OpenSSL を使用して PKCS12 ファイルを生成する」を参照してください。 | ||
| 2021 年 4 月 30 日 | ローカル ハード ディスク スペースの VM 要件を 30 GB に変更しました。 詳細については、「仮想ホスト要件」を参照してください。 | ||
2021 年 2 月 24 日 | HDS セットアップ ツールは、プロキシの後ろで実行できるようになりました。 詳細については、「HDS ホストの設定 ISO を作成する」を参照してください。 | ||
2021 年 2 月 2 日 | HDS は、マウントされた ISO ファイルなしで実行できるようになりました。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。 | ||
2021年1月11日。 | HDSセットアップツールとプロキシに関する情報を追加し、HDSホストの設定ISOを作成しました。 | ||
2020/10/13 | インストールファイルのダウンロードを更新しました。 | ||
2020/10/08 | 更新HDSホスト用の構成ISOの作成およびFedRAMP環境のコマンドによるノード構成の変更。 | ||
2020 年 8 月 14 日 | サインイン プロセスの変更に伴い、「HDS ホストの構成 ISO を作成する」および「ノード構成を変更する」が更新されました。 | ||
2020年8月5日水曜日 | ログ メッセージの変更に関するハイブリッド データ セキュリティ展開のテストを更新しました。 ホストの最大数を削除する仮想ホスト要件を更新しました。 | ||
2020 年 6 月 16 日 | Control Hub UI の変更に関するノードの削除を更新しました。 | ||
2020 年 6 月 4 日 | 設定する詳細設定の変更に関するHDS ホストの設定 ISO の作成を更新しました。 | ||
2020 年 5 月 29 日 | SQL Serverデータベース、UI変更、およびその他の説明でTLSを使用できることを示すために、HDSホストの構成ISOを作成するを更新しました。 | ||
2020 年 5 月 5 日 | ESXi 6.5 の新しい要件を表示するために、仮想ホスト要件を更新しました。 | ||
2020 年 4 月 21 日 | 新しい Americas CI ホストとの外部接続要件が更新されました。 | ||
2020 年 4 月 1 日 | 地域 CI ホストに関する情報で外部接続要件が更新されました。 | ||
| 2020年2月20日水曜日 | HDSセットアップツールの新しいオプションの詳細設定画面に関する情報を記載したHDSホストの設定ISOを作成を更新しました。 | ||
| 2020年2月4日。 | プロキシサーバーの要件を更新しました。 | ||
| 2019年12月16日 | ブロックされた外部 DNS 解決モードがプロキシサーバーの要件で動作する要件を明確化しました。 | ||
| 2019 年 11 月 19 日 | 次のセクションで、ブロックされた外部 DNS 解決モードに関する情報を追加しました。 | ||
2019 年 11 月 8 日 | OVA を後で展開するのではなく、ノードのネットワーク設定を構成できるようになりました。 以下のセクションを適宜更新しました。
| ||
2019年9月6日水曜日 | データベースサーバーの要件にSQL Server Standardを追加しました。 | ||
| 2019 年 8 月 29 日 | 適切な動作のためにWebSocketトラフィックを無視するようにSquidプロキシを設定する方法についてのガイダンスが追加されました。Configure Squid Proxies for Hybrid Data Securityの付録が追加されました。 | ||
| 2019 年 8 月 20 日 | Webex クラウドへのハイブリッド データ セキュリティ ノード通信のプロキシ サポートをカバーするセクションを追加および更新しました。 既存の展開のプロキシ サポート コンテンツだけにアクセスするには、「ハイブリッド データ セキュリティと Webex ビデオ メッシュのプロキシ サポート」のヘルプ記事を参照してください。 | ||
| 2019年6月13日。 | トライアルから本番稼働タスク フローに更新し、 HdsTrialGroup 組織がディレクトリ同期を使用している場合、トライアルを開始する前にグループ オブジェクト。 | ||
| 2019年3月6日（火） |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018年11月5日。 |
| ||
| 2018年10月19日水曜日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018/05/21 | Cisco Spark のリブランディングを反映する用語の変更:
| ||
| 2018年4月11日。 |
| ||
| 2018年2月22日水曜日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017年11月2日。 |
| ||
2017年8月18日。 | 初公開。 |
ハイブリッド データ セキュリティの概要
初日から、Webex アプリの設計において、データ セキュリティが主な焦点となっています。 このセキュリティはエンドツーエンドのコンテンツ暗号化を基礎とし、 Webexアプリ クライアントがキー管理サービス (KMS) とやり取りすることで実現しました。 KMS はメッセージとファイルを動的に暗号化し、解読するためにクライアントが使用する暗号キーの作成と管理の責任を負っています。
デフォルトでは、すべての Webex アプリの顧客は、Cisco のセキュリティ領域にあるクラウド KMS に保存されている動的キーを使用して、エンドツーエンドの暗号化を取得します。 ハイブリッド データ セキュリティは、KMS とその他のセキュリティ関連の機能をあなたのエンタープライズ データ センターに移動するため、誰でもなくあなたが暗号化コンテンツの鍵を持っています。
セキュリティRealmアーキテクチャ
Webex クラウド アーキテクチャは、以下に示すように、さまざまなタイプのサービスを別々の領域、または信頼ドメインに分離します。
ハイブリッド データ セキュリティをさらに理解するには、まず、シスコがクラウド レルムですべての機能を提供しているこの純粋なクラウド ケースを見てみましょう。 メールアドレスなどの個人情報とユーザーが直接相関できる唯一の場所であるアイデンティティサービスは、データセンターBのセキュリティ領域と論理的かつ物理的に分離されています。
この図では、クライアントはユーザーのラップトップで実行されている Webex アプリであり、ID サービスで認証されています。 ユーザがスペースに送信するメッセージを作成すると、次の手順が実行されます。
クライアントは、キー管理サービス（KMS）とのセキュアな接続を確立し、メッセージを暗号化するためのキーを要求します。 安全な接続は ECDH を使用し、KMS は AES-256 マスター キーを使用してキーを暗号化します。
メッセージはクライアントを離れる前に暗号化されます。 クライアントはインデックスをインデックスサービスに送信します。これにより、暗号化された検索インデックスが作成され、今後のコンテンツの検索に役立ちます。
暗号化されたメッセージは、コンプライアンス チェックのためにコンプライアンス サービスに送信されます。
暗号化されたメッセージはストレージ領域に保存されます。
ハイブリッド データ セキュリティを展開すると、セキュリティ レルム機能 (KMS、インデックス、コンプライアンス) をオンプレミスのデータセンターに移動します。 Webex を構成する他のクラウド サービス (ID とコンテンツ ストレージを含む) は、シスコの領域に残ります。
他の組織との連携
組織内のユーザーは、Webex アプリを定期的に使用して、他の組織の外部参加者とコラボレーションできます。 ユーザーの 1 人が組織によって所有されているスペースのキーを要求すると（ユーザーの 1 人が作成したため）、KMS は ECDH 保護されたチャネルを介してキーをクライアントに送信します。 ただし、別の組織がスペースのキーを所有している場合、KMS は別の ECDH チャネルを介してリクエストを WEBEX クラウドにルーティングして、適切な KMS からキーを取得し、元のチャネルのユーザーにキーを返します。
組織 A で実行されている KMS サービスは、x.509 PKI 証明書を使用して他の組織の KMS への接続を検証します。 ハイブリッド データ セキュリティの展開で使用する x.509 証明書の生成の詳細については、「環境の準備」を参照してください。
ハイブリッド データ セキュリティの展開への期待
ハイブリッド データ セキュリティの展開には、重要な顧客のコミットメントと、暗号化キーの所有に伴うリスクの認識が必要です。
ハイブリッド データ セキュリティを展開するには、以下を提供する必要があります。
Cisco Webex Teams プランで サポートされている国の安全なデータセンター。
環境の準備で説明する装置、ソフトウェア、およびネットワークアクセス。
ハイブリッド データ セキュリティ用に構築する構成 ISO または提供されたデータベースのいずれかを完全に失うと、キーが失われます。 キー損失は、ユーザーが Webex アプリでスペース コンテンツやその他の暗号化されたデータを復号することを防ぎます。 この場合、新しい展開を構築できますが、新しいコンテンツのみが表示されます。 データへのアクセスの損失を避けるには、以下を行う必要があります。
データベースのバックアップとリカバリ、および構成ISOを管理します。
データベースのディスク障害やデータセンター障害などの大災害が発生した場合、迅速な災害復旧を実行する準備をしてください。
 | HDS 導入後にキーをクラウドに戻すメカニズムはありません。 |
高レベルのセットアッププロセス
このドキュメントでは、ハイブリッド データ セキュリティ展開のセットアップと管理について説明します。
ハイブリッド データ セキュリティのセットアップ—これには、必要なインフラストラクチャの準備とハイブリッド データ セキュリティ ソフトウェアのインストール、トライアル モードでのユーザーのサブセットを使用した展開のテスト、テストが完了すると本番環境に移行することが含まれます。 これにより、組織全体がセキュリティ機能にハイブリッド データ セキュリティ クラスタを使用できるようになります。
セットアップ、トライアル、および生産の各段階は、次の3つの章で詳しく説明されています。
ハイブリッド データ セキュリティの展開を維持する—Webex クラウドは自動的に継続的なアップグレードを提供します。 IT 部門は、この展開に対してティア 1 のサポートを提供し、必要に応じてシスコのサポートを引き受けることができます。 画面上の通知を使用し、Control Hub でメールベースのアラートを設定できます。
一般的なアラート、トラブルシューティング手順、および既知の問題について理解する—ハイブリッド データ セキュリティの展開または使用で問題が発生した場合、このガイドの最後の章と既知の問題の付録は、問題を決定および修正するのに役立ちます。
ハイブリッド データ セキュリティ展開モデル
エンタープライズ データ センターでは、ハイブリッド データ セキュリティを個別の仮想ホスト上のノードの単一のクラスタとして展開します。 ノードは、セキュアなウェブソケットとセキュアな HTTP を通じて Webex クラウドと通信します。
インストールプロセス中に、提供するVM上の仮想アプライアンスを設定するためのOVAファイルを提供します。 HDS セットアップ ツールを使用して、各ノードにマウントするカスタム クラスタ構成 ISO ファイルを作成します。 ハイブリッド データ セキュリティ クラスタは、提供された Syslogd サーバーと PostgreSQL または Microsoft SQL Server データベースを使用します。 (HDS セットアップツールで Syslogd とデータベース接続の詳細を設定します。)
クラスタに持つことができるノードの最小数は 2 です。 私たちは少なくとも3つをお勧めします、そしてあなたは最大5つを持つことができます。 複数のノードを持つことにより、ノードのソフトウェアアップグレードやその他のメンテナンス作業中にサービスが中断されないようにします。（Webex クラウドは一度に 1 つのノードのみをアップグレードします。）
クラスタ内のすべてのノードが同じキーデータストアにアクセスし、同じ syslog サーバにアクティビティをログします。 ノード自体はステートレスであり、クラウドの指示に従って、ラウンドロビン方式で重要な要求を処理します。
ノードは、Control Hub に登録するとアクティブになります。 個々のノードをサービスから削除するには、登録を解除し、必要に応じて後で再登録できます。
組織ごとに 1 つのクラスタのみをサポートします。
ハイブリッド データ セキュリティ トライアル モード
ハイブリッド データ セキュリティの展開をセットアップした後、最初にパイロット ユーザーのセットで試してください。 トライアル期間中、これらのユーザーは暗号化キーやその他のセキュリティ領域サービスにオンプレミスのハイブリッド データ セキュリティ ドメインを使用します。 他のユーザーは引き続きクラウド セキュリティ レルムを使用します。
トライアル中に展開を続行せず、サービスを無効にすると、パイロットユーザーとトライアル期間中に新しいスペースを作成して対話したユーザーは、メッセージとコンテンツへのアクセス権を失います。 Webex アプリに「このメッセージは復号化できません」と表示されます。
導入がトライアル ユーザーに対してうまく機能しており、ハイブリッド データ セキュリティをすべてのユーザーに拡張する準備ができている場合は、導入を本番環境に移行します。 パイロットのユーザーは、トライアル中に使用されたキーにアクセスできます。 ただし、プロダクションモードと元のトライアルを行ったり来たりすることはできません。 ディザスタ リカバリを実行するなど、サービスを非アクティブ化する必要がある場合は、再アクティブ化時に新しいトライアルを開始し、新しいトライアルのパイロット ユーザーのセットを設定してから、プロダクション モードに戻す必要があります。 ユーザがこの時点でデータへのアクセスを保持するかどうかは、クラスタ内のハイブリッド データ セキュリティ ノードのキー データ ストアと ISO 構成ファイルのバックアップを正常に維持したかどうかに依存します。
災害復旧のためのスタンバイデータセンター
展開中に、セキュアなスタンバイデータセンターを設定します。 データセンターに障害が発生した場合、スタンバイデータセンターへの展開を手動で失敗させることができます。
アクティブ データ センターとスタンバイ データ センターのデータベースが相互に同期されているため、フェールオーバーを実行するのにかかる時間が最小限に抑えられます。 スタンバイデータセンターの ISO ファイルは、ノードが組織に登録されていることを確認する追加の構成で更新されますが、トラフィックは処理されません。 したがって、スタンバイデータセンターのノードは、常に最新バージョンのHDSソフトウェアで最新の状態に保たれます。
| アクティブなハイブリッド データ セキュリティ ノードは、常にアクティブなデータベース サーバと同じデータセンターにある必要があります。 |
災害復旧のためのスタンバイデータセンターを設定
スタンバイデータセンターの ISO ファイルを設定するには、以下の手順に従います。
始める前に
スタンバイデータセンターは、VMとバックアップPostgreSQLまたはMicrosoft SQL Serverデータベースの生産環境をミラーリングする必要があります。 たとえば、本番環境に HDS ノードを実行する 3 台の仮想マシンがある場合、バックアップ環境には 3 台の仮想マシンが必要です (このフェールオーバーモデルの概要については、「Standby Data Center for Disaster Recovery」を参照してください)。
アクティブクラスタノードとパッシブクラスタノードのデータベース間でデータベース同期が有効になっていることを確認します。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。
| ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加して、ノードをパッシブモードにします。 このモードでは、ノードは組織に登録され、クラウドに接続されますが、トラフィックは処理されません。
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
設定後 passiveMode ISOファイルに保存すると、ISOファイルの別のコピーを作成できます。 passiveMode 設定し、安全な場所に保存します。 このISOファイルのコピー passiveMode 設定すると、ディザスタ リカバリ中の迅速なフェールオーバー プロセスに役立ちます。 詳細なフェールオーバー手順については、「 スタンバイデータセンターを使用したディザスタ リカバリ」を参照してください。
プロキシサポート
ハイブリッド データ セキュリティは、明示的な透過的な検査および非検査プロキシをサポートします。 これらのプロキシを展開に関連付けることができます。これにより、エンタープライズからクラウドに送信されるトラフィックをセキュリティ保護し、監視することができます。 証明書の管理のノードでプラットフォーム管理インターフェイスを使用して、ノードでプロキシを設定した後で、全体的な接続ステータスを確認することができます。
ハイブリッド データ セキュリティ ノードは、以下のプロキシ オプションをサポートしています。
プロキシなし—プロキシを統合するために、HDS ノード セットアップの信頼ストアとプロキシ設定を使用しない場合は、デフォルトになります。 証明書の更新は必要ありません。
透過型の検査なしのプロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていないため、検査なしのプロキシで動作するように変更を加える必要はありません。 証明書の更新は必要ありません。
透過トンネリングまたは検査プロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。 ノードでは、HTTP または HTTPS の設定変更は必要ありません。 ただし、ノードはプロキシを信頼するためにルート証明書を必要とします。 プロキシを検査することで、Web サイトにアクセスするか、どのタイプのコンテンツを使用するかを強制するポリシーを施行することができます。 このタイプのプロキシは、すべてのトラフィック (HTTPS さえも含む) を復号化します。
明示的プロキシ—明示的なプロキシを使用して、使用するプロキシ サーバーと認証スキームを指定します。 明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
プロキシ IP/FQDN—プロキシ マシンに到達するために使用できるアドレス。
プロキシ ポート-プロキシがプロキシ トラフィックをリスンするために使用するポート番号。
プロキシ プロトコル-プロキシ サーバーがサポートするものに応じて、次のいずれかのプロトコルを選択します。
HTTP—クライアントが送信するすべての要求を表示し、コントロールします。
HTTPS—サーバーにチャネルを提供します。 クライアントがサーバーの証明書を受け取り、検証します。
認証タイプ-次の認証タイプから選択します。
なし—追加の認証は必要ありません。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
ベーシック—HTTP ユーザー エージェントがリクエストを行う際にユーザー名とパスワードを指定するために使用されます。 Base64 エンコードを使用します。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ダイジェスト—機密情報を送信する前にアカウントを確認するために使用されます。 ネットワークを経由して送信する前に、ユーザー名およびパスワードにハッシュ機能を適用します。
プロキシ プロトコルとして HTTPS を選択した場合にのみ利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ハイブリッド データ セキュリティ ノードとプロキシの例
この図は、ハイブリッド データ セキュリティ、ネットワーク、およびプロキシ間の接続例を示しています。 透過的な検査および HTTPS 明示的な検査プロキシ オプションの場合、同じルート証明書がプロキシとハイブリッド データ セキュリティ ノードにインストールされている必要があります。
外部 DNS 解決ブロックモード (明示的プロキシ構成)
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 内部クライアントのための外部 DNS 解決が許可されていない、明示的なプロキシ構成の展開では、ノードが DNS サーバーに問い合わせができない場合、自動的に外部 DNS 解決ブロックモードに切り替わります。 このモードでは、ノード登録および他のプロキシ接続テストを続行することができます。
ハイブリッド データ セキュリティの要件
Cisco Webex ライセンス要件
ハイブリッド データ セキュリティを展開するには:
Cisco Webex Control Hub 用の Pro Pack が必要です (https://www.cisco.com/go/pro-pack を参照してください)。
Docker デスクトップの要件
HDS ノードをインストールする前に、セットアッププログラムを実行するには Docker Desktop が必要です。 Dockerは最近、ライセンスモデルを更新しました。 あなたの組織は、Docker デスクトップの有料サブスクリプションを必要としている場合があります。 詳細については、Docker ブログ投稿次を参照してください。 Docker は製品のサブスクリプションを更新し、延長しています」に置き換えることで、URL が有効かどうかを検証できます。
X.509 証明書の要件
証明書チェーンは、次の要件を満たしている必要があります。
要件 | の詳細 |
|---|---|
| デフォルトでは、https://wiki.mozilla.org/CA:IncludedCAsでMozillaリスト（WoSignとStartComを除く）のCAを信頼しています。 |
| CN に到達可能またはライブホストである必要はありません。 組織を反映する名前を使用することを推奨します。たとえば、 CN に * (ワイルドカード) を含めることはできません。 CN は、Webex アプリ クライアントへのハイブリッド データ セキュリティ ノードを確認するために使用されます。 クラスタ内のすべてのハイブリッド データ セキュリティ ノードが同じ証明書を使用します。 KMS は、x.509v3 SAN フィールドで定義されているドメインではなく、CN ドメインを使用して自身を識別します。 この証明書でノードを登録すると、CN ドメイン名の変更はサポートされません。 トライアル展開と本番展開の両方に適用できるドメインを選択します。 |
| KMS ソフトウェアは、他の組織の KMS への接続を検証するための SHA1 署名をサポートしていません。 |
| OpenSSL などのコンバータを使用して、証明書の形式を変更できます。 HDSセットアップツールを実行するときは、パスワードを入力する必要があります。 |
KMS ソフトウェアは、キーの使用や拡張キーの使用制限を強制しません。 一部の証明機関では、サーバ認証など、各証明書に拡張されたキーの使用制限を適用する必要があります。 サーバー認証やその他の設定を使用してもかまいません。
仮想ホストの要件
クラスタ内のハイブリッド データ セキュリティ ノードとして設定する仮想ホストには、次の要件があります。
同じセキュア データ センターでコロケーションされた少なくとも 2 つの別のホスト (3 つの推奨)
VMware ESXi 6.5 (またはそれ以降) がインストールされ、実行されています。
以前のバージョンの ESXi がある場合は、アップグレードする必要があります。
最低4vCPU、8GBメインメモリ、サーバーあたり30GBのローカルハードディスク容量
データベースサーバーの要件
| キーストレージ用の新しいデータベースを作成します。 デフォルトのデータベースを使用しないでください。 HDS アプリケーションをインストールすると、データベース スキーマが作成されます。 |
データベースサーバーには2つのオプションがあります。 各要件は以下のとおりです。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） | ||
|---|---|---|---|
|
| ||
最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） | 最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） |
HDS ソフトウェアは現在、データベース サーバとの通信用に次のドライバ バージョンをインストールしています。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） |
|---|---|
Postgres JDBCドライバ 42.2.5 | SQL Server JDBC ドライバ 4.6 このドライババージョンは、SQL Server Always On（Always On Failover Cluster InstancesおよびAlways On availability groups）をサポートしています。 |
Microsoft SQL Server に対する Windows 認証の追加要件
HDS ノードが Windows 認証を使用して Microsoft SQL Server のキーストア データベースにアクセスできるようにするには、環境内で次の設定が必要です。
HDS ノード、Active Directory インフラストラクチャ、MS SQL Server はすべて NTP と同期する必要があります。
HDS ノードに提供する Windows アカウントは、データベースへの読み取り/書き込みアクセス権を持っている必要があります。
HDS ノードに提供する DNS サーバは、キー配布センター (KDC) を解決できる必要があります。
Microsoft SQL Server に HDS データベース インスタンスをサービス プリンシパル名 (SPN) として Active Directory に登録できます。 詳細は、Kerberos Connections のサービス プリンシパル名を登録するを参照してください。
HDS セットアップツール、HDS ランチャー、およびローカル KMS はすべて、キーストアデータベースにアクセスするために Windows 認証を使用する必要があります。 Kerberos 認証でアクセスを要求するときに、ISO 設定の詳細を使用して SPN を構築します。
外部接続の要件
HDS アプリケーションに次の接続を許可するようにファイアウォールを設定します。
アプリケーション | プロトコル | ポート | アプリからの方向 | 移動先 |
|---|---|---|---|---|
ハイブリッド データ セキュリティ ノード | TCP | 443 | アウトバウンド HTTPS および WSS |
|
HDS 設定ツール | TCP | 443 | アウトバウンド HTTPS |
|
| ハイブリッド データ セキュリティ ノードは、ネットワークアクセス変換（NAT）またはファイアウォールの後ろで動作します。ただし、NAT またはファイアウォールが前の表のドメイン宛先への必要な発信接続を許可している場合に限ります。 ハイブリッド データ セキュリティ ノードにインバウンドする接続の場合、インターネットからポートを表示することはできません。 データセンター内では、管理目的で、クライアントは TCP ポート 443 および 22 のハイブリッド データ セキュリティ ノードにアクセスする必要があります。 |
Common Identity (CI) ホストの URL は地域固有です。 これらは現在の CI ホストです。
地域 | 共通 ID ホスト URL |
|---|---|
Americas (北米、中南米エリア) |
|
欧州連合 |
|
カナダ |
|
プロキシ サーバーの要件
お使いのハイブリッド データ セキュリティ ノードと統合できる次のプロキシ ソリューションを正式にサポートしています。
透過的プロキシ—Cisco Web Security Appliance (WSA)。
明示的プロキシ—Squid。
HTTPS トラフィックを検査する Squid プロキシは、websocket (wss:) 接続の確立に干渉することができます。 接続の確立に干渉することができます。 この問題を回避するには、「ハイブリッド データ セキュリティ用の Squid プロキシの設定」を参照してください。
明示的プロキシに対して次の認証タイプの組み合わせがサポートされています。
HTTP または HTTPS による認証がありません
HTTP または HTTPS による基本認証
HTTPS のみによるダイジェスト認証
透過的検査プロキシまたは HTTPS 明示的プロキシについては、プロキシのルート証明書のコピーが必要です。 このガイドに記載されている展開手順は、ハイブリッド データ セキュリティ ノードの信頼ストアにコピーをアップロードする方法を説明しています。
HDS ノードをホストするネットワークは、ポート 443 のアウトバウンド TCP トラフィックを強制的にプロキシ経由でルーティングするように設定されている必要があります。
Web トラフィックを検査するプロキシは、Web ソケット接続に干渉する場合があります。 この問題が発生した場合、トラフィックをバイパス（検査しない）して
wbx2.comおよびciscospark.com問題を解決します。
ハイブリッド データ セキュリティの前提条件を完了する
| 1 | Webex 組織が Pro Pack for Cisco Webex Control Hub に対して有効になっていることを確認し、完全な組織管理者権限を持つアカウントの資格情報を取得します。 このプロセスについては、Cisco パートナーまたはアカウント マネージャーにお問い合わせください。 | ||
| 2 | HDS 展開のドメイン名を選択します (たとえば、 | ||
| 3 | クラスタ内のハイブリッド データ セキュリティ ノードとして設定する同一の仮想ホストを準備します。 仮想ホスト要件の要件を満たす同じセキュアデータセンターにコロケーションされた少なくとも2つの個別のホスト（3つの推奨）が必要です。 | ||
| 4 | データベースサーバーの要件に従って、クラスタのキーデータストアとして機能するデータベースサーバーを準備します。 データベースサーバーは、仮想ホストと安全なデータセンターでコロケーションする必要があります。 | ||
| 5 | 迅速な災害復旧のために、別のデータセンターにバックアップ環境を設定します。 バックアップ環境は、VMとバックアップデータベースサーバの生成環境をミラーリングします。 たとえば、本番環境に HDS ノードを実行する 3 つの仮想マシンがある場合、バックアップ環境には 3 つの VM が必要です。 | ||
| 6 | syslog ホストをセットアップして、クラスタ内のノードからログを収集します。 ネットワーク アドレスと syslog ポートを収集します（デフォルトは UDP 514）。 | ||
| 7 | ハイブリッド データ セキュリティ ノード、データベース サーバ、および syslog ホスト用のセキュア バックアップ ポリシーを作成します。 少なくとも、回復不能なデータの損失を防ぐには、ハイブリッド データ セキュリティ ノード用に生成されたデータベースと構成 ISO ファイルをバックアップする必要があります。
Webex アプリ クライアントはキーをキャッシュするため、停止がすぐに目立つことはありませんが、時間の経過とともに明らかになります。 一時的な停止を防ぐことは不可能ですが、それらは回復可能です。 ただし、データベースまたは構成のISOファイルの完全な損失(利用可能なバックアップはありません)は、回復不能な顧客データになります。 ハイブリッド データ セキュリティ ノードのオペレータは、データベースと構成 ISO ファイルの頻繁なバックアップを維持し、壊滅的な障害が発生した場合にハイブリッド データ セキュリティ データ センターを再構築する準備をする必要があります。 | ||
| 8 | ファイアウォール構成により、外部接続要件で説明されているように、ハイブリッド データ セキュリティ ノードの接続が許可されていることを確認してください。 | ||
| 9 | サポートされているOS（Microsoft Windows 10 ProfessionalまたはEnterprise 64ビット、またはMac OSX Yosemite 10.10.3以降）を実行しているローカルマシンにDocker（https://www.docker.com）をインストールし、次の場所からアクセスできます。 http://127.0.0.1:8080. Docker インスタンスを使用して、すべてのハイブリッド データ セキュリティ ノードのローカル設定情報を構築する HDS セットアップ ツールをダウンロードして実行します。 組織には Docker Desktop ライセンスが必要になる場合があります。 詳細については、「Docker デスクトップの要件」を参照してください。 HDSセットアップツールをインストールして実行するには、ローカルマシンに外部接続要件に記載されている接続性が必要です。 | ||
| 10 | プロキシとハイブリッド データ セキュリティを統合する場合は、プロキシ サーバーの要件を満たしていることを確認してください。 | ||
| 11 | 組織でディレクトリ同期を使用している場合は、Active Directory でグループを作成します。
|
ハイブリッド データ セキュリティ展開タスク フロー
始める前に
| 1 |
後で使用するために、OVA ファイルをローカル マシンにダウンロードします。 | ||
| 2 |
HDS セットアップ ツールを使用して、ハイブリッド データ セキュリティ ノードの ISO 設定ファイルを作成します。 | ||
| 3 |
OVA ファイルから仮想マシンを作成し、ネットワーク設定などの初期設定を実行します。
| ||
| 4 |
VM コンソールにサインインし、サインイン資格情報を設定します。 OVA 展開時にノードを設定しなかった場合は、ノードのネットワーク設定を構成します。 | ||
| 5 |
HDS セットアップ ツールを使用して作成した ISO 設定ファイルから VM を設定します。 | ||
| 6 |
ネットワーク環境にプロキシ設定が必要な場合は、ノードに使用するプロキシのタイプを指定し、必要に応じてプロキシ証明書を信頼ストアに追加します。 | ||
| 7 |
ハイブリッド データ セキュリティ ノードとして Cisco Webex クラウドに仮想マシンを登録します。 | ||
| 8 |
クラスタの設定を完了します。 | ||
| 9 | トライアルを実行して本番環境に移動 (次の章) トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
インストールファイルのダウンロード
| 1 | https://admin.webex.comにサインインし、「サービス」をクリックします。 | ||||
| 2 | [ハイブリッド サービス] セクションで、ハイブリッド データ セキュリティ カードを見つけて、[セットアップ] をクリックします。 カードが無効になっているか、表示されない場合は、アカウントチームまたはパートナー組織に連絡してください。 アカウント番号を入力し、組織でハイブリッド データ セキュリティを有効にするように依頼します。 アカウント番号を見つけるには、組織名の横にある右上の歯車をクリックします。
| ||||
| 3 | ノードがまだセットアップされていないことを示すにはいいえを選択し、「次へ」をクリックします。 OVAファイルは自動的にダウンロードを開始します。 ファイルをマシン上の場所に保存します。
| ||||
| 4 | 必要に応じて、［導入ガイドを開く］をクリックして、このガイドの後半バージョンが利用可能かどうかを確認します。 |
HDS ホストの設定 ISO を作成する
ハイブリッド データ セキュリティのセットアップ プロセスは、ISO ファイルを作成します。 その後、ISO を使用してハイブリッド データ セキュリティ ホストを設定します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、手順 5 で Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT生成する構成 ISO ファイルには、PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーが含まれています。 次のように、設定を変更するたびに、このファイルの最新のコピーが必要です。
データベースの資格情報
証明書の更新
承認ポリシーの変更
データベース接続を暗号化する場合は、TLS 用の PostgreSQL または SQL Server 展開をセットアップします。
| 1 | マシンのコマンド ラインで、お使い環境に適切なコマンドを入力します。 一般環境: FedRAMP 環境の場合:
| ||||||||||||
| 2 | Docker 画像レジストリにサインインするには、以下を入力します。 | ||||||||||||
| 3 | パスワードのプロンプトに対して、このハッシュを入力します。 | ||||||||||||
| 4 | お使い環境に合った最新の安定した画像をダウンロードします。 一般環境: FedRAMP 環境の場合: | ||||||||||||
| 5 | プルが完了したら、お使いの環境に適切なコマンドを入力します。
コンテナが実行中の時。「ポート 8080 で Express サーバー リスニング中」と表示されます。 | ||||||||||||
| 6 |
Web ブラウザを使用して localhost に移動し、 このツールは、ユーザー名の最初のエントリを使用して、そのアカウントの適切な環境を設定します。 このツールには、標準のサインインプロンプトが表示されます。 | ||||||||||||
| 7 | プロンプトが表示されたら、Control Hub の顧客管理者のサインイン資格情報を入力し、[ログイン] をクリックして、ハイブリッド データ セキュリティに必要なサービスへのアクセスを許可します。 | ||||||||||||
| 8 | [セットアップツールの概要] ページで、[はじめに] をクリックします。 | ||||||||||||
| 9 | ［ISOインポート］ページには、次のオプションがあります。
| ||||||||||||
| 10 | X.509 証明書がX.509 証明書要件の要件を満たしていることを確認してください。
| ||||||||||||
| 11 | HDS のデータベース アドレスとアカウントを入力して、キー データストアにアクセスします。 | ||||||||||||
| 12 | TLS データベース接続モードを選択します。
ルート証明書をアップロードし（必要に応じて）、［続行］をクリックすると、HDS Setup Tool がデータベース サーバへの TLS 接続をテストします。 また、必要に応じて、証明書の署名者とホスト名も検証されます。 テストが失敗した場合、問題を説明するエラー メッセージがツールによって表示されます。 エラーを無視してセットアップを続行するかどうかを選択できます。 （接続性の違いにより、HDS Setup Tool マシンが正常にテストできない場合でも、HDS ノードは TLS 接続を確立できる場合があります）。 | ||||||||||||
| 13 | [システムログ（System Logs）] ページで、Syslogd サーバを設定します。 | ||||||||||||
| 14 | （オプション）一部のデータベース接続パラメータのデフォルト値は、［詳細設定］で変更できます。 通常、このパラメータは、変更する可能性のある唯一のパラメータです。 | ||||||||||||
| 15 | [サービスアカウントのパスワードをリセット] 画面の [続行] をクリックします。 サービスアカウントのパスワードは9ヶ月の寿命を持っています。 パスワードの有効期限が近づいている場合、または以前の ISO ファイルを無効にするためにパスワードをリセットする場合は、この画面を使用します。 | ||||||||||||
| 16 | [ISOファイルのダウンロード] をクリックします。 見つけやすい場所にファイルを保存します。 | ||||||||||||
| 17 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||||||||||||
| 18 | セットアップ ツールをシャットダウンするために次のように入力します。 |
次に行うこと
設定 ISO ファイルをバックアップします。 リカバリのためにより多くのノードを作成したり、設定を変更したりする必要があります。 ISOファイルのコピーをすべて失うと、マスターキーも失われます。 PostgreSQL または Microsoft SQL Server データベースからキーを回復することはできません。
| 私たちはこのキーのコピーを持っていないし、あなたがそれを失ったら助けることができません。 |
HDS ホスト OVA のインストール
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインします。 | ||||||
| 2 | ファイル > OVF テンプレートを展開を選択します。 | ||||||
| 3 | ウィザードで、先ほどダウンロードしたOVAファイルの場所を指定し、 をクリックします。 次へだ | ||||||
| 4 | の 名前とフォルダを選択ページ、を入力します 仮想マシン名ノード（たとえば、「HDS_Node_1」）で、仮想マシンノードの展開が可能な場所を選択し、次へだ | ||||||
| 5 | の 計算リソースを選択ページで、宛先計算リソースを選択し、をクリックします。 次へだ 検証チェックが実行されます。 完了すると、テンプレートの詳細が表示されます。 | ||||||
| 6 | テンプレートの詳細を確認し、［次へ］をクリックします。 | ||||||
| 7 | のリソース設定を選択するよう求められた場合 設定ページ、をクリックします。 4 CPU をクリックし、 をクリックします。 次へだ | ||||||
| 8 | の ストレージを選択ページ、をクリックします。 次へは、デフォルトのディスク形式とVMストレージポリシーを受け入れます。 | ||||||
| 9 | の ネットワークを選択ページで、エントリのリストからネットワークオプションを選択し、仮想マシンへの接続を提供します。 | ||||||
| 10 | [テンプレートのカスタマイズ] ページで、次のネットワーク設定を構成します。
必要に応じて、ネットワーク設定の構成をスキップし、[ハイブリッド データ セキュリティ VM のセットアップ] の手順に従って、ノード コンソールから設定を構成できます。
| ||||||
| 11 | ノードVMを右クリックし、だ。 ハイブリッド データ セキュリティ ソフトウェアは、VM ホストにゲストとしてインストールされます。 これで、コンソールにサインインしてノードを設定する準備ができました。 トラブルシューティングのヒント ノード コンテナーが出てくるまでに、数分間の遅延がある場合があります。 初回起動の間、ブリッジ ファイアウォール メッセージが、コンソールに表示され、この間はサイン インできません。 |
ハイブリッド データ セキュリティ VM のセットアップ
この手順を使用して、ハイブリッド データ セキュリティ ノード VM コンソールに初めてサインインし、サインイン クレデンシャルを設定します。 OVA 展開時に設定しなかった場合は、コンソールを使用してノードのネットワーク設定を構成することもできます。
| 1 | VMware vSphere クライアントで、ハイブリッド データ セキュリティ ノード VM を選択し、[コンソール] タブを選択します。 VM が起動し、ログインプロンプトが表示されます。 ログインプロンプトが表示されない場合は、 入力を押してください。
|
| 2 | 次のデフォルトのログインとパスワードを使用してサインインし、資格情報を変更します。 初めて仮想マシンにサインインするため、管理者パスワードを変更する必要があります。 |
| 3 | ［HDS ホスト OVA のインストール］でネットワーク設定をすでに設定している場合は、残りの手順をスキップします。 それ以外の場合は、メインメニューで［設定の編集］オプションを選択します。 |
| 4 | IP アドレス、マスク、ゲートウェイ、DNS 情報を含む静的設定をセットアップします。 ノードには内部 IP アドレスと DNS 名が必要です。 DHCP はサポートされていません。 |
| 5 | (オプション) ネットワーク ポリシーと一致する必要がある場合は、ホスト名、ドメイン、または NTP サーバを変更します。 X.509 証明書を取得するために使用したドメインと一致するようにドメインを設定する必要はありません。 |
| 6 | ネットワーク設定を保存し、仮想マシンを再起動して、変更を有効にします。 |
HDS 設定 ISO のアップロードとマウント
始める前に
ISOファイルはマスターキーを保持しているため、Hybrid Data Security VMおよび変更が必要な管理者によるアクセスのために、「知る必要性」に基づいてのみ公開する必要があります。 これらの管理者だけがデータストアにアクセスできることを確認してください。
| 1 | コンピュータから ISO ファイルをアップロードします。 |
| 2 | ISO ファイルをマウントします。 |
次に行うこと
IT ポリシーが必要な場合は、すべてのノードが設定変更をピックアップした後、オプションで ISO ファイルのマウントを解除できます。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。
プロキシ統合のために HDS ノードを設定する
ネットワーク環境でプロキシが必要な場合は、この手順を使用して、ハイブリッド データ セキュリティと統合するプロキシのタイプを指定します。 透過型のプロキシまたは HTTPS を明示的なプロキシを選択した場合、ノードのインターフェイスを使用してルート証明書をアップロードしてインストールすることができます。 インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。
始める前に
サポートされているプロキシオプションの概要については、プロキシサポートを参照してください。
| 1 | HDS ノードのセットアップ URL を入力 |
| 2 | [信頼ストアとロキシ] に移動して、次のオプションを選択します。
透過型検査プロキシ、基本認証を持つ HTTP 明示プロキシ、または HTTPS 明示プロキシについては、次のステップに従ってください。 |
| 3 | [ルート証明書またはエンティティ終了証明書のアップロード] をクリックし、プロキシのルート証明書を選択するために移動します。 証明書はアップロードされていますが、まだインストールされていません。証明書をインストールするにはノードを再起動する必要があります。 証明書発行者名の山形矢印をクリックして詳細を確認するか、間違っている場合は [削除] をクリックして、ファイルを再度アップロードしてください。 |
| 4 | [プロキシ接続を確認する] をクリックして、ノードとプロキシ間のネットワーク接続性をテストします。 接続テストが失敗した場合は、エラーメッセージが表示され、問題を解決するための理由と方法が示されます。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しています。 この状況は、多くの明示的なプロキシ構成で想定されています。 セットアップを続行すると、ノードは外部 DNS 解決ブロックモードで機能します。 これがエラーと思われる場合は、次の手順を実行し、「ブロックされた外部 DNS 解決モードをオフにする」を参照してください。 |
| 5 | 接続テストが成功した後、明示的なプロキシについては https のみに設定し、このノードからの すべてのポートの 443/444 https 要求を明示的プロキシを通してルーティングするように切り替えます。 この設定を有効にするには 15 秒かかります。 |
| 6 | [すべての証明書を信頼ストアにインストールする(HTTPS 明示プロキシまたは透過型のプロキシで表示される)] または [再起動] をクリックして、プロンプトを読み、準備が完了したら [インストール] をクリックします。 ノードが数分以内に再起動されます。 |
| 7 | ノードが再起動したら、必要に応じて再度サインインして、[概要] ページを開き、接続チェックを確認してすべて緑色のステータスになっていることを確認します。 プロキシ接続の確認は webex.com のサブドメインのみをテストします。 接続の問題がある場合、インストール手順に記載されているクラウド ドメインの一部がプロキシでブロックされているという問題がよく見られます。 |
クラスタ内の最初のノードを登録する
最初のノードを登録するとき、クラスターをノードが指定されている場所に作成します。 クラスタには、冗長性を提供するために展開された 1 つ以上のノードが含まれています。
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | https://admin.webex.comにサインインします。 |
| 2 | スクリーンの左側にあるメニューからサービスを選択します。 |
| 3 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[セットアップ] をクリックします。 [ハイブリッド データ セキュリティ ノードの登録] ページが表示されます。
|
| 4 | ノードを設定し、登録する準備ができていることを示すには、「はい」を選択し、「次へ」をクリックします。 |
| 5 | 最初のフィールドに、ハイブリッド データ セキュリティ ノードを割り当てるクラスタの名前を入力します。 クラスタのノードが地理的にどこに配置されているかに基づきクラスタに名前を付けることをお薦めします。 例: 「サンフランシスコ」「ニューヨーク」「ダラス」 |
| 6 | 2 番目のフィールドに、ノードの内部 IP アドレスまたは完全修飾ドメイン名（FQDN）を入力し、[次へ] をクリックします。 この IP アドレスまたは FQDN は、ハイブリッド データ セキュリティ VM のセットアップ で使用した IP アドレスまたはホスト名とドメインと一致する必要があります。 ノードを Webex に登録できることを示すメッセージが表示されます。
|
| 7 | [ノードに進む] をクリックします。 |
| 8 | 警告メッセージの [続ける] をクリックします。 しばらくすると、Webex サービスのノード接続テストにリダイレクトされます。 すべてのテストが成功すると、[ハイブリッド データ セキュリティ ノードへのアクセスを許可（Allow Access to Hybrid Data Security Node）] ページが表示されます。 ここで、ノードにアクセスする権限を Webex 組織に付与することを確認します。
|
| 9 | [ハイブリッド データ セキュリティ ノードへのアクセスを許可] チェックボックスをオンにして、[続行] をクリックします。 アカウントが検証され、「登録完了」メッセージは、ノードが Webex クラウドに登録されたことを示します。
|
| 10 | リンクをクリックするか、タブを閉じて、[Control Hub ハイブリッド データ セキュリティ] ページに戻ります。 [ハイブリッド データ セキュリティ] ページで、登録したノードを含む新しいクラスタが表示されます。 ノードはクラウドから最新のソフトウェアを自動的にダウンロードします。
|
より多くのノードを作成して登録する
| 現時点では、「ハイブリッド データ セキュリティの前提条件を完了」で作成したバックアップ VM は、ディザスタ リカバリーの場合にのみ使用されるスタンバイ ホストであり、それまではシステムに登録されていません。 詳細については、「スタンバイデータセンターを使用した災害復旧」を参照してください。 |
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | OVA から新しい仮想マシンを作成し、「HDS ホスト OVA のインストール」の手順を繰り返します。 |
| 2 | 新しい仮想マシンで初期設定を行い、「ハイブリッド データ セキュリティ 仮想マシンのセットアップ」の手順を繰り返します。 |
| 3 | 新しい VM で、「Upload and Mount the HDS Configuration ISO」の手順を繰り返します。 |
| 4 | 展開のプロキシを設定する場合は、新しいノードに必要に応じ「プロキシ統合の HDS ノードを設定する」の手順を繰り返します。 |
| 5 | ノードを登録します。 ノードが登録されています。 トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成することに注意してください。
|
次に行うこと
プロダクション タスク フローへの試行
ハイブリッド データ セキュリティ クラスタをセットアップした後、パイロットを起動し、ユーザーを追加し、本番環境への移行に備えて展開のテストと検証に使用を開始できます。
| 1 | 必要に応じて、 組織でユーザーのディレクトリ同期を使用している場合は、 |
| 2 |
トライアルを開始します。 このタスクを実行するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
| 3 |
重要な要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
| 4 |
ステータスを確認し、アラームのメール通知を設定します。 |
| 5 | |
| 6 | 以下のいずれかの操作を行い、治験の段階を完了します。 |
トライアルの有効化
始める前に
組織でユーザーのディレクトリ同期を使用している場合は、 HdsTrialGroup 組織のトライアルを開始する前に、クラウドに同期するためのグループ オブジェクト。 手順については、 Cisco Directory Connector 展開ガイドを参照してください。
| 1 | https://admin.webex.comにサインインし、「サービス」を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[トライアルの開始] をクリックします。 サービス ステータスがトライアル モードに変わります。
|
| 4 | [ユーザーの追加] をクリックし、暗号化およびインデックスサービスのためにハイブリッド データ セキュリティ ノードを使用してパイロットする 1 人以上のユーザーのメール アドレスを入力します。 (組織がディレクトリ同期を使用している場合は、Active Directory を使用してトライアル グループを管理します。 |
ハイブリッド データ セキュリティ展開をテストする
始める前に
ハイブリッド データ セキュリティの展開をセットアップします。
トライアルを有効にし、複数のトライアル ユーザーを追加します。
キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認するために、syslog にアクセスできることを確認します。
| 1 | 特定のスペースのキーは、スペースの作成者によって設定されます。 パイロットユーザーの 1 人として Webex アプリにサインインし、スペースを作成し、少なくとも 1 人のパイロットユーザーと 1 人の非パイロットユーザーを招待します。
| ||
| 2 | 新しいスペースにメッセージを送信します。 | ||
| 3 | syslog 出力をチェックして、キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
ハイブリッド データ セキュリティの健全性を監視する
| 1 | Control Hubで、画面左側のメニューからサービスを選択します。 |
| 2 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[設定] をクリックします。 [ハイブリッド データ セキュリティ設定] ページが表示されます。
|
| 3 | [メール通知] セクションで、カンマで区切られた 1 つ以上のメールアドレスを入力し、[Enter] を押します。 |
トライアルからユーザーを追加または削除する
トライアルからユーザーを削除すると、ユーザーのクライアントは KMS ではなく、クラウド KMS からキーとキーの作成を要求します。 クライアントが KMS に保存されているキーを必要とする場合、クラウド KMS はユーザーに代わってキーを取得します。
組織がディレクトリ同期を使用している場合、Active Directory (この手順の代わりに) を使用してトライアル グループを管理します。 HdsTrialGroup; Control Hub でグループメンバーを表示できますが、追加または削除することはできません。
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] 領域の [トライアルモード（Trial Mode）] セクションで、[ユーザーの追加（Add Users）] をクリックするか、[表示と編集] をクリックしてユーザーをトライアルから削除します。 |
| 4 | 追加する 1 人以上のユーザーのメールアドレスを入力するか、ユーザー ID の X をクリックしてユーザーをトライアルから削除します。 その後、[保存] をクリックします。 |
トライアルからプロダクションへの移行
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[本番環境に移動] をクリックします。 |
| 4 | すべてのユーザーを本番環境に移行することを確認します。 |
本番環境に移行せずにトライアルを終了する
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | 「Deactivate（無効化）」セクションで「Deactivate（無効化）」をクリックします。 |
| 4 | サービスを無効にしてトライアルを終了することを確認します。 |
HDS 展開の管理
ここで説明するタスクを使用して、ハイブリッド データ セキュリティの展開を管理します。
クラスタアップグレードスケジュールの設定
アップグレードスケジュールを設定するには:
| 1 | Control Hub にサインインします。 |
| 2 | [概要] ページの [ハイブリッド サービス] で、[ハイブリッド データ セキュリティ] を選択します。 |
| 3 | [ハイブリッド データ セキュリティ リソース] ページで、クラスタを選択します。 |
| 4 | 右側の [概要] パネルの [クラスタ設定] で、クラスタ名を選択します。 |
| 5 | 設定ページのアップグレードの下で、アップグレードのスケジュール設定を希望する時間およびタイムゾーンを選択します。 メモ: タイムゾーンの下に、次に可能なアップグレードの日時が表示されます。 必要に応じて、[延期] をクリックすることでアップグレードを翌日に延期することもできます。 |
ノードの設定を変更する
有効期限が切れる、または他の理由による、x.509 証明書の変更。
証明書の CN ドメイン名の変更はサポートされていません。 ドメインは、クラスターを登録するために使用される元のドメインと一致する必要があります。
データベース設定を更新して、PostgreSQL または Microsoft SQL Server データベースのレプリカを変更します。
PostgreSQL から Microsoft SQL Server への、またはその逆へのデータ移行はサポートしていません。 データベース環境を切り替えるには、ハイブリッド データ セキュリティの新しい展開を開始します。
新しい構成を作成して新しいデータセンターの準備をする。
また、セキュリティ上の理由により、ハイブリッド データ セキュリティは 9 か月間使用可能なサービス アカウント パスワードを使用します。 HDS セットアップ ツールがこれらのパスワードを生成した後で、ISO 構成ファイルの各 HDS ノードに展開します。 組織のパスワードの有効期限切れが近い場合、Webex チームから「パスワード期限切れ通知」を受け取り、マシン アカウントのパスワードのリセットを求められます。 (メールにはテキスト「マシン アカウント API を使用してパスワードを更新します」を含みます。) パスワードの有効期限が切れるまで時間が十分にある場合、ツールには次の 2 つのオプションがあります:
ソフト リセット— 古いパスワードと新しいパスワードは最大 10 日間有効です。 この期間を使用して、ノードの ISO ファイルを段階的に置き換えることができます。
ハード リセット—古いパスワードは即時に機能を停止します。
パスワードをリセットせずに期限切れになる場合、HDS サービスに影響を与える可能性があります。すぐにハード リセットし、すべてのノードの ISO ファイルを置換する必要があります。
この手順を使用して、新しい構成 ISO ファイルを生成し、クラスターに適用します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、1.eで Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT新しい構成を生成するには、現在の構成 ISO ファイルのコピーが必要です。 ISO には PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーを含むです。 データベースの証明書、証明書の更新、認証方針への変更を含む、構成の変更を行った場合は ISO が必要です。
| 1 | ローカル マシンで Docker を使用し、HDS セットアップ ツールを実行します。
| ||||||
| 2 | を実行している HDS ノードが 1 個のみある場合、新しいノード VM を作成し、新しいハイブリッド データ セキュリティ ノード VM を作成し、新しい構成 ISO ファイルを使用してそれを登録します。 手順の詳細については、「追加のノードを作成して登録する」を参照してください。 | ||||||
| 3 | 古い構成ファイルを実行している既存の HDS ノードの場合、ISO ファイルをマウントします。 各ノードで以下の手順を実行し、次のノードをオフにする前に、各ノードを更新します。 | ||||||
| 4 | ステップ 3 を繰り返し、古い構成ファイルを実行している残りの各ノードで構成を置き換えます。 |
外部 DNS 解決ブロックモードをオフにする
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 ノードの DNS サーバーがパブリック DNS 名を解決できない場合、ノードは自動的に外部 DNS 解決ブロックモードに進みます。
ノードが内部 DNS サーバーを通してパブリック DNS 名を解決できる場合、各ノードでプロキシ接続テストを再実行することで、このモードをオフにすることができます。
始める前に
| 1 | Web ブラウザで、ハイブリッド データ セキュリティ ノード インターフェイス (IP アドレス/セットアップ、たとえば、ノードに設定した管理者資格情報をhttps://192.0.2.0/setup), 入力し、[サインイン] をクリックします。 |
| 2 | [概要] (デフォルトページ) に移動します。 有効になっている場合、 [外部 DNS 解決ブロック] は [はい] に設定されています。 |
| 3 | [信頼ストアとプロキシ] ページに移動します。 |
| 4 | [プロキシ接続を確認する] をクリックします。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しており、このモードに留まっています。 そうでない場合には、ノードを再起動して[概要] ページに戻ると、[外部 DNS 解決ブロック] は [いいえ] に設定されるはずです。 |
次に行うこと
ノードの削除
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインし、仮想マシンの電源を切ります。 |
| 2 | ノードを削除します。 |
| 3 | vSphere クライアントで、仮想マシンを削除します (左側のナビゲーションペインで、仮想マシンを右クリックし、[削除] をクリックします)。 仮想マシンを削除しない場合は、設定の ISO ファイルのマウントを解除することを忘れないでください。 ISO ファイルがないと、VM を使用してセキュリティ データにアクセスすることはできません。 |
スタンバイデータセンターを使用したディザスタ リカバリ
ハイブリッド データ セキュリティ クラスタが提供する最も重要なサービスは、Webex クラウドに保存されているメッセージやその他のコンテンツを暗号化するために使用されるキーの作成と保存です。 ハイブリッド データ セキュリティに割り当てられている組織内の各ユーザーについて、新しいキー作成要求がクラスタにルーティングされます。 また、クラスタは、作成したキーを、カンバセーションスペースのメンバーなど、取得を許可されたユーザーに返却する責任があります。
クラスタは、これらのキーを提供するという重要な機能を実行するため、クラスタが実行され、適切なバックアップが維持されることが不可欠です。 ハイブリッド データ セキュリティ データベースまたはスキーマに使用されている構成 ISO が失われると、顧客のコンテンツが回復不能に失われます。 このような損失を防ぐには、以下の慣行が必須です。
災害により、プライマリデータセンターの HDS 展開が使用できなくなる場合は、次の手順に従って、スタンバイデータセンターに手動でフェールオーバーします。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。 | ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加するか、
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
（オプション）HDS設定後にISOをアンマウントする
標準の HDS 構成は、ISO マウントで実行されます。 しかし、一部の顧客は、ISOファイルを継続的にマウントしたままにしないことを好みます。 すべての HDS ノードが新しい設定をピックアップした後、ISO ファイルのマウントを解除できます。
ISO ファイルを使用して、設定を変更します。 新しい ISO を作成するか、セットアップツールを使用して ISO を更新する場合は、更新された ISO をすべての HDS ノードにマウントする必要があります。 すべてのノードが設定変更をピックアップしたら、この手順で再び ISO のマウントを解除できます。
始める前に
すべての HDS ノードをバージョン 2021.01.22.4720 以降にアップグレードします。
| 1 | 1 つの HDS ノードをシャットダウンします。 |
| 2 | vCenter Server Appliance で、HDS ノードを選択します。 |
| 3 | を選択し、［データストアISOファイル］のチェックを外します。 |
| 4 | HDS ノードの電源を入れ、少なくとも 20 分間アラームがないことを確認します。 |
| 5 | HDS ノードごとに順番に繰り返します。 |
アラートとトラブルシューティングの表示
ハイブリッド データ セキュリティの展開は、クラスタ内のすべてのノードに到達できない場合、またはクラスタが非常にゆっくりと動作しているため、要求がタイムアウトした場合、利用できないと見なされます。 ユーザーがハイブリッド データ セキュリティ クラスタに到達できない場合、次の症状が発生します。
新しいスペースを作成できません (新しいキーを作成できません)
メッセージとスペース タイトルの復号に失敗する:
新規ユーザーがスペースに追加されました (キーを取得できません)
新しいクライアントを使用するスペース内の既存のユーザー (キーを取得できません)
スペース内の既存のユーザーは、クライアントが暗号化キーのキャッシュを持っている限り、正常に動作し続けます。
ハイブリッド データ セキュリティ クラスタを適切に監視し、サービスの中断を避けるために速やかにアラートに対処することが重要です。
警告
ハイブリッド データ セキュリティのセットアップに問題がある場合、Control Hub は組織管理者にアラートを表示し、設定されたメール アドレスにメールを送信します。 アラートは、多くの一般的なシナリオをカバーしています。
警告 | アクション |
|---|---|
ローカル データべースへのアクセスに失敗しました。 |
データベース エラーまたはローカル ネットワークの問題を確認します。 |
ローカルデータベース接続に失敗しました。 |
データベース サーバが使用可能であり、ノード設定で適切なサービス アカウント クレデンシャルが使用されていることを確認します。 |
クラウド サービスへのアクセスに失敗しました。 |
外部接続要件で指定されているように、ノードが Webex サーバーにアクセスできることを確認します。 |
クラウドサービス登録の更新。 |
クラウドサービスへの登録が削除されました。 登録の更新が進行中です。 |
クラウドサービスの登録が削除されました。 |
クラウドサービスへの登録が終了しました。 サービスが停止しています。 |
サービスはまだアクティベートされていません。 |
トライアルを有効にするか、トライアルを本番環境に移行します。 |
設定されたドメインがサーバー証明書と一致しません。 |
サーバー証明書が設定されたサービス アクティベーション ドメインと一致していることを確認します。 最も可能性の高い原因は、証明書 CN が最近変更され、初期設定で使用された CN とは異なるようになったためです。 |
クラウド サービスの認証に失敗しました。 |
サービスアカウントの資格情報の正確さと有効期限の可否を確認します。 |
ローカル キーストア ファイルを開くことができませんでした。 |
ローカル キーストア ファイルの整合性とパスワードの正確性を確認します。 |
ローカルサーバー証明書が無効です。 |
サーバ証明書の有効期限を確認し、信頼できる認証局によって発行されていることを確認します。 |
メトリクスを投稿できません。 |
外部クラウド サービスへのローカル ネットワーク アクセスを確認します。 |
/media/configdrive/hds ディレクトリが存在しません。 |
仮想ホストの ISO マウント設定を確認します。 ISO ファイルが存在すること、再起動時にマウントするように設定されていること、正常にマウントされていることを確認します。 |
ハイブリッド データ セキュリティのトラブルシューティング
| 1 | アラートについては Control Hub を確認し、見つかった項目を修正します。 |
| 2 | ハイブリッド データ セキュリティ展開からのアクティビティの syslog サーバー出力を確認します。 |
| 3 | Cisco サポート にお問い合わせください。 |
ハイブリッド データ セキュリティの既知の問題
ハイブリッド データ セキュリティ クラスタをシャットダウンする (Control Hub で削除するか、すべてのノードをシャットダウンする)、構成 ISO ファイルを失う、またはキーストア データベースへのアクセスを失う場合、Webex アプリのユーザーは、KMS のキーを使用して作成された [ユーザー] リストの下のスペースを使用できなくなります。 これは、トライアル展開と本番展開の両方に適用されます。 現在、この問題の回避策や修正はありません。HDS サービスがアクティブなユーザーアカウントを処理したら、HDS サービスをシャットダウンしないようにしてください。
KMS への既存の ECDH 接続を持つクライアントは、その接続を一定期間 (おそらく 1 時間) 維持します。 ユーザーがハイブリッド データ セキュリティ トライアルのメンバーになると、ユーザーのクライアントは、タイムアウトするまで既存の ECDH 接続を引き続き使用します。 代わりに、ユーザーは Webex アプリ アプリにサインアウトして再度ログインして、アプリが暗号化キーの連絡先を更新できます。
同じ動作は、組織のトライアルを本番環境に移行する場合にも発生します。 以前のデータ セキュリティ サービスへの既存の ECDH 接続を持つすべての非トライアル ユーザーは、ECDH 接続が再ネゴシエートされるまで (タイムアウトまたはサインアウトして戻る)、これらのサービスを使用し続けます。
OpenSSL を使用して PKCS12 ファイルを生成する
始める前に
OpenSSLは、HDSセットアップツールでロードするための適切な形式でPKCS12ファイルを作成するために使用できるツールの1つです。 これを行うには他の方法があり、私たちは別の方法よりも支持または促進しません。
OpenSSLを使用することを選択した場合は、X.509証明書要件を満たすファイルを作成するのに役立つガイドラインとして、この手順を提供しています。 X.509 証明書の要件は... 続行する前にこれらの要件を理解してください。
サポートされている環境で OpenSSL をインストールします。 ソフトウェアとマニュアルについてはhttps://www.openssl.orgを参照してください。
秘密鍵を作成します。
認証局（CA）からサーバ証明書を受け取ったら、この手順を開始します。
| 1 | CA からサーバー証明書を受け取ったら、次のように保存します。 |
| 2 | 証明書をテキストとして表示し、詳細を確認します。
|
| 3 | テキスト エディタを使用して、証明書バンドル ファイルを作成します。
|
| 4 | 親しみやすい名前で .p12 ファイルを作成する
|
| 5 | サーバ証明書の詳細を確認してください。 |
次に行うこと
「 ハイブリッド データ セキュリティの前提条件を満たす」に戻ります。 次を使用します: hdsnode.p12［HDSホストの設定ISOの作成］で設定したファイルとパスワード。
| これらのファイルを再使用して、元の証明書の有効期限が切れたときに新しい証明書を要求できます。 |
HDS ノードとクラウド間のトラフィック
アウトバウンドメトリック収集トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドに特定のメトリックを送信します。 これには、ヒープ最大、使用されるヒープ、CPU 負荷、およびスレッド数のシステムメトリクス、同期スレッドと非同期スレッドのメトリクス、暗号化接続のしきい値、遅延、またはリクエストキュー長を含むアラートのメトリクス、データストアのメトリクス、および暗号化接続メトリックが含まれます。 ノードは、（リクエストとは別に）帯域外チャネル上で暗号化されたキー素材を送信します。
着信トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドから次のタイプのインバウンド トラフィックを受信します。
暗号化サービスによってルーティングされるクライアントからの暗号化要求
ノード ソフトウェアへのアップグレード
ハイブリッド データ セキュリティの Squid プロキシを設定する
Websocket は Squid プロキシを通じて接続できません
Mサイズは箱入りとなります Sサイズは箱なしでのラッピングとなります ギフトボックス・ラッピングについて ＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿ wss:) ハイブリッド データ セキュリティが必要とする接続。 これらのセクションでは、無視するためにさまざまなバージョンの Squid を設定する方法について説明します。 wss: これは、サービスの適切な運用のためのトラフィックです。
Squid 4 および5
次を追加します: on_unsupported_protocol 指示する squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
次のルールが追加され、ハイブリッド データ セキュリティが正常にテストされました。 squid.conf です。 これらのルールは、機能を開発し、Webex クラウドを更新する際に変更されることがあります。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新規および変更された情報
日付 | 変更履歴 | ||
|---|---|---|---|
2023年10月20日。 |
| ||
2023年8月7日。 |
| ||
2023年5月23日。 |
| ||
2022 年 12 月 06 日 |
| ||
2022年11月23日。 |
| ||
2021 年 10 月 13 日 | HDS ノードをインストールする前に、Docker Desktop でセットアッププログラムを実行する必要があります。 Docker デスクトップの要件を参照してください。 | ||
2017 年 6 月 24 日 | 秘密鍵ファイルと CSR を再使用して別の証明書を要求できることに注意してください。 詳細については、「OpenSSL を使用して PKCS12 ファイルを生成する」を参照してください。 | ||
| 2021 年 4 月 30 日 | ローカル ハード ディスク スペースの VM 要件を 30 GB に変更しました。 詳細については、「仮想ホスト要件」を参照してください。 | ||
2021 年 2 月 24 日 | HDS セットアップ ツールは、プロキシの後ろで実行できるようになりました。 詳細については、「HDS ホストの設定 ISO を作成する」を参照してください。 | ||
2021 年 2 月 2 日 | HDS は、マウントされた ISO ファイルなしで実行できるようになりました。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。 | ||
2021年1月11日。 | HDSセットアップツールとプロキシに関する情報を追加し、HDSホストの設定ISOを作成しました。 | ||
2020/10/13 | インストールファイルのダウンロードを更新しました。 | ||
2020/10/08 | 更新HDSホスト用の構成ISOの作成およびFedRAMP環境のコマンドによるノード構成の変更。 | ||
2020 年 8 月 14 日 | サインイン プロセスの変更に伴い、「HDS ホストの構成 ISO を作成する」および「ノード構成を変更する」が更新されました。 | ||
2020年8月5日水曜日 | ログ メッセージの変更に関するハイブリッド データ セキュリティ展開のテストを更新しました。 ホストの最大数を削除する仮想ホスト要件を更新しました。 | ||
2020 年 6 月 16 日 | Control Hub UI の変更に関するノードの削除を更新しました。 | ||
2020 年 6 月 4 日 | 設定する詳細設定の変更に関するHDS ホストの設定 ISO の作成を更新しました。 | ||
2020 年 5 月 29 日 | SQL Serverデータベース、UI変更、およびその他の説明でTLSを使用できることを示すために、HDSホストの構成ISOを作成するを更新しました。 | ||
2020 年 5 月 5 日 | ESXi 6.5 の新しい要件を表示するために、仮想ホスト要件を更新しました。 | ||
2020 年 4 月 21 日 | 新しい Americas CI ホストとの外部接続要件が更新されました。 | ||
2020 年 4 月 1 日 | 地域 CI ホストに関する情報で外部接続要件が更新されました。 | ||
| 2020年2月20日水曜日 | HDSセットアップツールの新しいオプションの詳細設定画面に関する情報を記載したHDSホストの設定ISOを作成を更新しました。 | ||
| 2020年2月4日。 | プロキシサーバーの要件を更新しました。 | ||
| 2019年12月16日 | ブロックされた外部 DNS 解決モードがプロキシサーバーの要件で動作する要件を明確化しました。 | ||
| 2019 年 11 月 19 日 | 次のセクションで、ブロックされた外部 DNS 解決モードに関する情報を追加しました。 | ||
2019 年 11 月 8 日 | OVA を後で展開するのではなく、ノードのネットワーク設定を構成できるようになりました。 以下のセクションを適宜更新しました。
| ||
2019年9月6日水曜日 | データベースサーバーの要件にSQL Server Standardを追加しました。 | ||
| 2019 年 8 月 29 日 | 適切な動作のためにWebSocketトラフィックを無視するようにSquidプロキシを設定する方法についてのガイダンスが追加されました。Configure Squid Proxies for Hybrid Data Securityの付録が追加されました。 | ||
| 2019 年 8 月 20 日 | Webex クラウドへのハイブリッド データ セキュリティ ノード通信のプロキシ サポートをカバーするセクションを追加および更新しました。 既存の展開のプロキシ サポート コンテンツだけにアクセスするには、「ハイブリッド データ セキュリティと Webex ビデオ メッシュのプロキシ サポート」のヘルプ記事を参照してください。 | ||
| 2019年6月13日。 | トライアルから本番稼働タスク フローに更新し、 HdsTrialGroup 組織がディレクトリ同期を使用している場合、トライアルを開始する前にグループ オブジェクト。 | ||
| 2019年3月6日（火） |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018年11月5日。 |
| ||
| 2018年10月19日水曜日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018/05/21 | Cisco Spark のリブランディングを反映する用語の変更:
| ||
| 2018年4月11日。 |
| ||
| 2018年2月22日水曜日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017年11月2日。 |
| ||
2017年8月18日。 | 初公開。 |
ハイブリッド データ セキュリティの概要
初日から、Webex アプリの設計において、データ セキュリティが主な焦点となっています。 このセキュリティはエンドツーエンドのコンテンツ暗号化を基礎とし、 Webexアプリ クライアントがキー管理サービス (KMS) とやり取りすることで実現しました。 KMS はメッセージとファイルを動的に暗号化し、解読するためにクライアントが使用する暗号キーの作成と管理の責任を負っています。
デフォルトでは、すべての Webex アプリの顧客は、Cisco のセキュリティ領域にあるクラウド KMS に保存されている動的キーを使用して、エンドツーエンドの暗号化を取得します。 ハイブリッド データ セキュリティは、KMS とその他のセキュリティ関連の機能をあなたのエンタープライズ データ センターに移動するため、誰でもなくあなたが暗号化コンテンツの鍵を持っています。
セキュリティRealmアーキテクチャ
Webex クラウド アーキテクチャは、以下に示すように、さまざまなタイプのサービスを別々の領域、または信頼ドメインに分離します。
ハイブリッド データ セキュリティをさらに理解するには、まず、シスコがクラウド レルムですべての機能を提供しているこの純粋なクラウド ケースを見てみましょう。 メールアドレスなどの個人情報とユーザーが直接相関できる唯一の場所であるアイデンティティサービスは、データセンターBのセキュリティ領域と論理的かつ物理的に分離されています。
この図では、クライアントはユーザーのラップトップで実行されている Webex アプリであり、ID サービスで認証されています。 ユーザがスペースに送信するメッセージを作成すると、次の手順が実行されます。
クライアントは、キー管理サービス（KMS）とのセキュアな接続を確立し、メッセージを暗号化するためのキーを要求します。 安全な接続は ECDH を使用し、KMS は AES-256 マスター キーを使用してキーを暗号化します。
メッセージはクライアントを離れる前に暗号化されます。 クライアントはインデックスをインデックスサービスに送信します。これにより、暗号化された検索インデックスが作成され、今後のコンテンツの検索に役立ちます。
暗号化されたメッセージは、コンプライアンス チェックのためにコンプライアンス サービスに送信されます。
暗号化されたメッセージはストレージ領域に保存されます。
ハイブリッド データ セキュリティを展開すると、セキュリティ レルム機能 (KMS、インデックス、コンプライアンス) をオンプレミスのデータセンターに移動します。 Webex を構成する他のクラウド サービス (ID とコンテンツ ストレージを含む) は、シスコの領域に残ります。
他の組織との連携
組織内のユーザーは、Webex アプリを定期的に使用して、他の組織の外部参加者とコラボレーションできます。 ユーザーの 1 人が組織によって所有されているスペースのキーを要求すると（ユーザーの 1 人が作成したため）、KMS は ECDH 保護されたチャネルを介してキーをクライアントに送信します。 ただし、別の組織がスペースのキーを所有している場合、KMS は別の ECDH チャネルを介してリクエストを WEBEX クラウドにルーティングして、適切な KMS からキーを取得し、元のチャネルのユーザーにキーを返します。
組織 A で実行されている KMS サービスは、x.509 PKI 証明書を使用して他の組織の KMS への接続を検証します。 ハイブリッド データ セキュリティの展開で使用する x.509 証明書の生成の詳細については、「環境の準備」を参照してください。
ハイブリッド データ セキュリティの展開への期待
ハイブリッド データ セキュリティの展開には、重要な顧客のコミットメントと、暗号化キーの所有に伴うリスクの認識が必要です。
ハイブリッド データ セキュリティを展開するには、以下を提供する必要があります。
Cisco Webex Teams プランで サポートされている国の安全なデータセンター。
環境の準備で説明する装置、ソフトウェア、およびネットワークアクセス。
ハイブリッド データ セキュリティ用に構築する構成 ISO または提供されたデータベースのいずれかを完全に失うと、キーが失われます。 キー損失は、ユーザーが Webex アプリでスペース コンテンツやその他の暗号化されたデータを復号することを防ぎます。 この場合、新しい展開を構築できますが、新しいコンテンツのみが表示されます。 データへのアクセスの損失を避けるには、以下を行う必要があります。
データベースのバックアップとリカバリ、および構成ISOを管理します。
データベースのディスク障害やデータセンター障害などの大災害が発生した場合、迅速な災害復旧を実行する準備をしてください。
| HDS 導入後にキーをクラウドに戻すメカニズムはありません。 |
高レベルのセットアッププロセス
このドキュメントでは、ハイブリッド データ セキュリティ展開のセットアップと管理について説明します。
ハイブリッド データ セキュリティのセットアップ—これには、必要なインフラストラクチャの準備とハイブリッド データ セキュリティ ソフトウェアのインストール、トライアル モードでのユーザーのサブセットを使用した展開のテスト、テストが完了すると本番環境に移行することが含まれます。 これにより、組織全体がセキュリティ機能にハイブリッド データ セキュリティ クラスタを使用できるようになります。
セットアップ、トライアル、および生産の各段階は、次の3つの章で詳しく説明されています。
ハイブリッド データ セキュリティの展開を維持する—Webex クラウドは自動的に継続的なアップグレードを提供します。 IT 部門は、この展開に対してティア 1 のサポートを提供し、必要に応じてシスコのサポートを引き受けることができます。 画面上の通知を使用し、Control Hub でメールベースのアラートを設定できます。
一般的なアラート、トラブルシューティング手順、および既知の問題について理解する—ハイブリッド データ セキュリティの展開または使用で問題が発生した場合、このガイドの最後の章と既知の問題の付録は、問題を決定および修正するのに役立ちます。
ハイブリッド データ セキュリティ展開モデル
エンタープライズ データ センターでは、ハイブリッド データ セキュリティを個別の仮想ホスト上のノードの単一のクラスタとして展開します。 ノードは、セキュアなウェブソケットとセキュアな HTTP を通じて Webex クラウドと通信します。
インストールプロセス中に、提供するVM上の仮想アプライアンスを設定するためのOVAファイルを提供します。 HDS セットアップ ツールを使用して、各ノードにマウントするカスタム クラスタ構成 ISO ファイルを作成します。 ハイブリッド データ セキュリティ クラスタは、提供された Syslogd サーバーと PostgreSQL または Microsoft SQL Server データベースを使用します。 (HDS セットアップツールで Syslogd とデータベース接続の詳細を設定します。)
クラスタに持つことができるノードの最小数は 2 です。 私たちは少なくとも3つをお勧めします、そしてあなたは最大5つを持つことができます。 複数のノードを持つことにより、ノードのソフトウェアアップグレードやその他のメンテナンス作業中にサービスが中断されないようにします。（Webex クラウドは一度に 1 つのノードのみをアップグレードします。）
クラスタ内のすべてのノードが同じキーデータストアにアクセスし、同じ syslog サーバにアクティビティをログします。 ノード自体はステートレスであり、クラウドの指示に従って、ラウンドロビン方式で重要な要求を処理します。
ノードは、Control Hub に登録するとアクティブになります。 個々のノードをサービスから削除するには、登録を解除し、必要に応じて後で再登録できます。
組織ごとに 1 つのクラスタのみをサポートします。
ハイブリッド データ セキュリティ トライアル モード
ハイブリッド データ セキュリティの展開をセットアップした後、最初にパイロット ユーザーのセットで試してください。 トライアル期間中、これらのユーザーは暗号化キーやその他のセキュリティ領域サービスにオンプレミスのハイブリッド データ セキュリティ ドメインを使用します。 他のユーザーは引き続きクラウド セキュリティ レルムを使用します。
トライアル中に展開を続行せず、サービスを無効にすると、パイロットユーザーとトライアル期間中に新しいスペースを作成して対話したユーザーは、メッセージとコンテンツへのアクセス権を失います。 Webex アプリに「このメッセージは復号化できません」と表示されます。
導入がトライアル ユーザーに対してうまく機能しており、ハイブリッド データ セキュリティをすべてのユーザーに拡張する準備ができている場合は、導入を本番環境に移行します。 パイロットのユーザーは、トライアル中に使用されたキーにアクセスできます。 ただし、プロダクションモードと元のトライアルを行ったり来たりすることはできません。 ディザスタ リカバリを実行するなど、サービスを非アクティブ化する必要がある場合は、再アクティブ化時に新しいトライアルを開始し、新しいトライアルのパイロット ユーザーのセットを設定してから、プロダクション モードに戻す必要があります。 ユーザがこの時点でデータへのアクセスを保持するかどうかは、クラスタ内のハイブリッド データ セキュリティ ノードのキー データ ストアと ISO 構成ファイルのバックアップを正常に維持したかどうかに依存します。
災害復旧のためのスタンバイデータセンター
展開中に、セキュアなスタンバイデータセンターを設定します。 データセンターに障害が発生した場合、スタンバイデータセンターへの展開を手動で失敗させることができます。
アクティブ データ センターとスタンバイ データ センターのデータベースが相互に同期されているため、フェールオーバーを実行するのにかかる時間が最小限に抑えられます。 スタンバイデータセンターの ISO ファイルは、ノードが組織に登録されていることを確認する追加の構成で更新されますが、トラフィックは処理されません。 したがって、スタンバイデータセンターのノードは、常に最新バージョンのHDSソフトウェアで最新の状態に保たれます。
| アクティブなハイブリッド データ セキュリティ ノードは、常にアクティブなデータベース サーバと同じデータセンターにある必要があります。 |
災害復旧のためのスタンバイデータセンターを設定
スタンバイデータセンターの ISO ファイルを設定するには、以下の手順に従います。
始める前に
スタンバイデータセンターは、VMとバックアップPostgreSQLまたはMicrosoft SQL Serverデータベースの生産環境をミラーリングする必要があります。 たとえば、本番環境に HDS ノードを実行する 3 台の仮想マシンがある場合、バックアップ環境には 3 台の仮想マシンが必要です (このフェールオーバーモデルの概要については、「Standby Data Center for Disaster Recovery」を参照してください)。
アクティブクラスタノードとパッシブクラスタノードのデータベース間でデータベース同期が有効になっていることを確認します。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。
| ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加して、ノードをパッシブモードにします。 このモードでは、ノードは組織に登録され、クラウドに接続されますが、トラフィックは処理されません。
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
設定後 passiveMode ISOファイルに保存すると、ISOファイルの別のコピーを作成できます。 passiveMode 設定し、安全な場所に保存します。 このISOファイルのコピー passiveMode 設定すると、ディザスタ リカバリ中の迅速なフェールオーバー プロセスに役立ちます。 詳細なフェールオーバー手順については、「 スタンバイデータセンターを使用したディザスタ リカバリ」を参照してください。
プロキシサポート
ハイブリッド データ セキュリティは、明示的な透過的な検査および非検査プロキシをサポートします。 これらのプロキシを展開に関連付けることができます。これにより、エンタープライズからクラウドに送信されるトラフィックをセキュリティ保護し、監視することができます。 証明書の管理のノードでプラットフォーム管理インターフェイスを使用して、ノードでプロキシを設定した後で、全体的な接続ステータスを確認することができます。
ハイブリッド データ セキュリティ ノードは、以下のプロキシ オプションをサポートしています。
プロキシなし—プロキシを統合するために、HDS ノード セットアップの信頼ストアとプロキシ設定を使用しない場合は、デフォルトになります。 証明書の更新は必要ありません。
透過型の検査なしのプロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていないため、検査なしのプロキシで動作するように変更を加える必要はありません。 証明書の更新は必要ありません。
透過トンネリングまたは検査プロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。 ノードでは、HTTP または HTTPS の設定変更は必要ありません。 ただし、ノードはプロキシを信頼するためにルート証明書を必要とします。 プロキシを検査することで、Web サイトにアクセスするか、どのタイプのコンテンツを使用するかを強制するポリシーを施行することができます。 このタイプのプロキシは、すべてのトラフィック (HTTPS さえも含む) を復号化します。
明示的プロキシ—明示的なプロキシを使用して、使用するプロキシ サーバーと認証スキームを指定します。 明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
プロキシ IP/FQDN—プロキシ マシンに到達するために使用できるアドレス。
プロキシ ポート-プロキシがプロキシ トラフィックをリスンするために使用するポート番号。
プロキシ プロトコル-プロキシ サーバーがサポートするものに応じて、次のいずれかのプロトコルを選択します。
HTTP—クライアントが送信するすべての要求を表示し、コントロールします。
HTTPS—サーバーにチャネルを提供します。 クライアントがサーバーの証明書を受け取り、検証します。
認証タイプ-次の認証タイプから選択します。
なし—追加の認証は必要ありません。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
ベーシック—HTTP ユーザー エージェントがリクエストを行う際にユーザー名とパスワードを指定するために使用されます。 Base64 エンコードを使用します。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ダイジェスト—機密情報を送信する前にアカウントを確認するために使用されます。 ネットワークを経由して送信する前に、ユーザー名およびパスワードにハッシュ機能を適用します。
プロキシ プロトコルとして HTTPS を選択した場合にのみ利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ハイブリッド データ セキュリティ ノードとプロキシの例
この図は、ハイブリッド データ セキュリティ、ネットワーク、およびプロキシ間の接続例を示しています。 透過的な検査および HTTPS 明示的な検査プロキシ オプションの場合、同じルート証明書がプロキシとハイブリッド データ セキュリティ ノードにインストールされている必要があります。
外部 DNS 解決ブロックモード (明示的プロキシ構成)
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 内部クライアントのための外部 DNS 解決が許可されていない、明示的なプロキシ構成の展開では、ノードが DNS サーバーに問い合わせができない場合、自動的に外部 DNS 解決ブロックモードに切り替わります。 このモードでは、ノード登録および他のプロキシ接続テストを続行することができます。
ハイブリッド データ セキュリティの要件
Cisco Webex ライセンス要件
ハイブリッド データ セキュリティを展開するには:
Cisco Webex Control Hub 用の Pro Pack が必要です (https://www.cisco.com/go/pro-pack を参照してください)。
Docker デスクトップの要件
HDS ノードをインストールする前に、セットアッププログラムを実行するには Docker Desktop が必要です。 Dockerは最近、ライセンスモデルを更新しました。 あなたの組織は、Docker デスクトップの有料サブスクリプションを必要としている場合があります。 詳細については、Docker ブログ投稿次を参照してください。 Docker は製品のサブスクリプションを更新し、延長しています」に置き換えることで、URL が有効かどうかを検証できます。
X.509 証明書の要件
証明書チェーンは、次の要件を満たしている必要があります。
要件 | の詳細 |
|---|---|
| デフォルトでは、https://wiki.mozilla.org/CA:IncludedCAsでMozillaリスト（WoSignとStartComを除く）のCAを信頼しています。 |
| CN に到達可能またはライブホストである必要はありません。 組織を反映する名前を使用することを推奨します。たとえば、 CN に * (ワイルドカード) を含めることはできません。 CN は、Webex アプリ クライアントへのハイブリッド データ セキュリティ ノードを確認するために使用されます。 クラスタ内のすべてのハイブリッド データ セキュリティ ノードが同じ証明書を使用します。 KMS は、x.509v3 SAN フィールドで定義されているドメインではなく、CN ドメインを使用して自身を識別します。 この証明書でノードを登録すると、CN ドメイン名の変更はサポートされません。 トライアル展開と本番展開の両方に適用できるドメインを選択します。 |
| KMS ソフトウェアは、他の組織の KMS への接続を検証するための SHA1 署名をサポートしていません。 |
| OpenSSL などのコンバータを使用して、証明書の形式を変更できます。 HDSセットアップツールを実行するときは、パスワードを入力する必要があります。 |
KMS ソフトウェアは、キーの使用や拡張キーの使用制限を強制しません。 一部の証明機関では、サーバ認証など、各証明書に拡張されたキーの使用制限を適用する必要があります。 サーバー認証やその他の設定を使用してもかまいません。
仮想ホストの要件
クラスタ内のハイブリッド データ セキュリティ ノードとして設定する仮想ホストには、次の要件があります。
同じセキュア データ センターでコロケーションされた少なくとも 2 つの別のホスト (3 つの推奨)
VMware ESXi 6.5 (またはそれ以降) がインストールされ、実行されています。
以前のバージョンの ESXi がある場合は、アップグレードする必要があります。
最低4vCPU、8GBメインメモリ、サーバーあたり30GBのローカルハードディスク容量
データベースサーバーの要件
| キーストレージ用の新しいデータベースを作成します。 デフォルトのデータベースを使用しないでください。 HDS アプリケーションをインストールすると、データベース スキーマが作成されます。 |
データベースサーバーには2つのオプションがあります。 各要件は以下のとおりです。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） | ||
|---|---|---|---|
|
| ||
最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） | 最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） |
HDS ソフトウェアは現在、データベース サーバとの通信用に次のドライバ バージョンをインストールしています。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） |
|---|---|
Postgres JDBCドライバ 42.2.5 | SQL Server JDBC ドライバ 4.6 このドライババージョンは、SQL Server Always On（Always On Failover Cluster InstancesおよびAlways On availability groups）をサポートしています。 |
Microsoft SQL Server に対する Windows 認証の追加要件
HDS ノードが Windows 認証を使用して Microsoft SQL Server のキーストア データベースにアクセスできるようにするには、環境内で次の設定が必要です。
HDS ノード、Active Directory インフラストラクチャ、MS SQL Server はすべて NTP と同期する必要があります。
HDS ノードに提供する Windows アカウントは、データベースへの読み取り/書き込みアクセス権を持っている必要があります。
HDS ノードに提供する DNS サーバは、キー配布センター (KDC) を解決できる必要があります。
Microsoft SQL Server に HDS データベース インスタンスをサービス プリンシパル名 (SPN) として Active Directory に登録できます。 詳細は、Kerberos Connections のサービス プリンシパル名を登録するを参照してください。
HDS セットアップツール、HDS ランチャー、およびローカル KMS はすべて、キーストアデータベースにアクセスするために Windows 認証を使用する必要があります。 Kerberos 認証でアクセスを要求するときに、ISO 設定の詳細を使用して SPN を構築します。
外部接続の要件
HDS アプリケーションに次の接続を許可するようにファイアウォールを設定します。
アプリケーション | プロトコル | ポート | アプリからの方向 | 移動先 |
|---|---|---|---|---|
ハイブリッド データ セキュリティ ノード | TCP | 443 | アウトバウンド HTTPS および WSS |
|
HDS 設定ツール | TCP | 443 | アウトバウンド HTTPS |
|
| ハイブリッド データ セキュリティ ノードは、ネットワークアクセス変換（NAT）またはファイアウォールの後ろで動作します。ただし、NAT またはファイアウォールが前の表のドメイン宛先への必要な発信接続を許可している場合に限ります。 ハイブリッド データ セキュリティ ノードにインバウンドする接続の場合、インターネットからポートを表示することはできません。 データセンター内では、管理目的で、クライアントは TCP ポート 443 および 22 のハイブリッド データ セキュリティ ノードにアクセスする必要があります。 |
Common Identity (CI) ホストの URL は地域固有です。 これらは現在の CI ホストです。
地域 | 共通 ID ホスト URL |
|---|---|
Americas (北米、中南米エリア) |
|
欧州連合 |
|
カナダ |
|
プロキシ サーバーの要件
お使いのハイブリッド データ セキュリティ ノードと統合できる次のプロキシ ソリューションを正式にサポートしています。
透過的プロキシ—Cisco Web Security Appliance (WSA)。
明示的プロキシ—Squid。
HTTPS トラフィックを検査する Squid プロキシは、websocket (wss:) 接続の確立に干渉することができます。 接続の確立に干渉することができます。 この問題を回避するには、「ハイブリッド データ セキュリティ用の Squid プロキシの設定」を参照してください。
明示的プロキシに対して次の認証タイプの組み合わせがサポートされています。
HTTP または HTTPS による認証がありません
HTTP または HTTPS による基本認証
HTTPS のみによるダイジェスト認証
透過的検査プロキシまたは HTTPS 明示的プロキシについては、プロキシのルート証明書のコピーが必要です。 このガイドに記載されている展開手順は、ハイブリッド データ セキュリティ ノードの信頼ストアにコピーをアップロードする方法を説明しています。
HDS ノードをホストするネットワークは、ポート 443 のアウトバウンド TCP トラフィックを強制的にプロキシ経由でルーティングするように設定されている必要があります。
Web トラフィックを検査するプロキシは、Web ソケット接続に干渉する場合があります。 この問題が発生した場合、トラフィックをバイパス（検査しない）して
wbx2.comおよびciscospark.com問題を解決します。
ハイブリッド データ セキュリティの前提条件を完了する
| 1 | Webex 組織が Pro Pack for Cisco Webex Control Hub に対して有効になっていることを確認し、完全な組織管理者権限を持つアカウントの資格情報を取得します。 このプロセスについては、Cisco パートナーまたはアカウント マネージャーにお問い合わせください。 | ||
| 2 | HDS 展開のドメイン名を選択します (たとえば、 | ||
| 3 | クラスタ内のハイブリッド データ セキュリティ ノードとして設定する同一の仮想ホストを準備します。 仮想ホスト要件の要件を満たす同じセキュアデータセンターにコロケーションされた少なくとも2つの個別のホスト（3つの推奨）が必要です。 | ||
| 4 | データベースサーバーの要件に従って、クラスタのキーデータストアとして機能するデータベースサーバーを準備します。 データベースサーバーは、仮想ホストと安全なデータセンターでコロケーションする必要があります。 | ||
| 5 | 迅速な災害復旧のために、別のデータセンターにバックアップ環境を設定します。 バックアップ環境は、VMとバックアップデータベースサーバの生成環境をミラーリングします。 たとえば、本番環境に HDS ノードを実行する 3 つの仮想マシンがある場合、バックアップ環境には 3 つの VM が必要です。 | ||
| 6 | syslog ホストをセットアップして、クラスタ内のノードからログを収集します。 ネットワーク アドレスと syslog ポートを収集します（デフォルトは UDP 514）。 | ||
| 7 | ハイブリッド データ セキュリティ ノード、データベース サーバ、および syslog ホスト用のセキュア バックアップ ポリシーを作成します。 少なくとも、回復不能なデータの損失を防ぐには、ハイブリッド データ セキュリティ ノード用に生成されたデータベースと構成 ISO ファイルをバックアップする必要があります。
Webex アプリ クライアントはキーをキャッシュするため、停止がすぐに目立つことはありませんが、時間の経過とともに明らかになります。 一時的な停止を防ぐことは不可能ですが、それらは回復可能です。 ただし、データベースまたは構成のISOファイルの完全な損失(利用可能なバックアップはありません)は、回復不能な顧客データになります。 ハイブリッド データ セキュリティ ノードのオペレータは、データベースと構成 ISO ファイルの頻繁なバックアップを維持し、壊滅的な障害が発生した場合にハイブリッド データ セキュリティ データ センターを再構築する準備をする必要があります。 | ||
| 8 | ファイアウォール構成により、外部接続要件で説明されているように、ハイブリッド データ セキュリティ ノードの接続が許可されていることを確認してください。 | ||
| 9 | サポートされているOS（Microsoft Windows 10 ProfessionalまたはEnterprise 64ビット、またはMac OSX Yosemite 10.10.3以降）を実行しているローカルマシンにDocker（https://www.docker.com）をインストールし、次の場所からアクセスできます。 http://127.0.0.1:8080. Docker インスタンスを使用して、すべてのハイブリッド データ セキュリティ ノードのローカル設定情報を構築する HDS セットアップ ツールをダウンロードして実行します。 組織には Docker Desktop ライセンスが必要になる場合があります。 詳細については、「Docker デスクトップの要件」を参照してください。 HDSセットアップツールをインストールして実行するには、ローカルマシンに外部接続要件に記載されている接続性が必要です。 | ||
| 10 | プロキシとハイブリッド データ セキュリティを統合する場合は、プロキシ サーバーの要件を満たしていることを確認してください。 | ||
| 11 | 組織でディレクトリ同期を使用している場合は、Active Directory でグループを作成します。
|
ハイブリッド データ セキュリティ展開タスク フロー
始める前に
| 1 |
後で使用するために、OVA ファイルをローカル マシンにダウンロードします。 | ||
| 2 |
HDS セットアップ ツールを使用して、ハイブリッド データ セキュリティ ノードの ISO 設定ファイルを作成します。 | ||
| 3 |
OVA ファイルから仮想マシンを作成し、ネットワーク設定などの初期設定を実行します。
| ||
| 4 |
VM コンソールにサインインし、サインイン資格情報を設定します。 OVA 展開時にノードを設定しなかった場合は、ノードのネットワーク設定を構成します。 | ||
| 5 |
HDS セットアップ ツールを使用して作成した ISO 設定ファイルから VM を設定します。 | ||
| 6 |
ネットワーク環境にプロキシ設定が必要な場合は、ノードに使用するプロキシのタイプを指定し、必要に応じてプロキシ証明書を信頼ストアに追加します。 | ||
| 7 |
ハイブリッド データ セキュリティ ノードとして Cisco Webex クラウドに仮想マシンを登録します。 | ||
| 8 |
クラスタの設定を完了します。 | ||
| 9 | トライアルを実行して本番環境に移動 (次の章) トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
インストールファイルのダウンロード
| 1 | https://admin.webex.comにサインインし、「サービス」をクリックします。 | ||||
| 2 | [ハイブリッド サービス] セクションで、ハイブリッド データ セキュリティ カードを見つけて、[セットアップ] をクリックします。 カードが無効になっているか、表示されない場合は、アカウントチームまたはパートナー組織に連絡してください。 アカウント番号を入力し、組織でハイブリッド データ セキュリティを有効にするように依頼します。 アカウント番号を見つけるには、組織名の横にある右上の歯車をクリックします。
| ||||
| 3 | ノードがまだセットアップされていないことを示すにはいいえを選択し、「次へ」をクリックします。 OVAファイルは自動的にダウンロードを開始します。 ファイルをマシン上の場所に保存します。
| ||||
| 4 | 必要に応じて、［導入ガイドを開く］をクリックして、このガイドの後半バージョンが利用可能かどうかを確認します。 |
HDS ホストの設定 ISO を作成する
ハイブリッド データ セキュリティのセットアップ プロセスは、ISO ファイルを作成します。 その後、ISO を使用してハイブリッド データ セキュリティ ホストを設定します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、手順 5 で Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT生成する構成 ISO ファイルには、PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーが含まれています。 次のように、設定を変更するたびに、このファイルの最新のコピーが必要です。
データベースの資格情報
証明書の更新
承認ポリシーの変更
データベース接続を暗号化する場合は、TLS 用の PostgreSQL または SQL Server 展開をセットアップします。
| 1 | マシンのコマンド ラインで、お使い環境に適切なコマンドを入力します。 一般環境: FedRAMP 環境の場合:
| ||||||||||||
| 2 | Docker 画像レジストリにサインインするには、以下を入力します。 | ||||||||||||
| 3 | パスワードのプロンプトに対して、このハッシュを入力します。 | ||||||||||||
| 4 | お使い環境に合った最新の安定した画像をダウンロードします。 一般環境: FedRAMP 環境の場合: | ||||||||||||
| 5 | プルが完了したら、お使いの環境に適切なコマンドを入力します。
コンテナが実行中の時。「ポート 8080 で Express サーバー リスニング中」と表示されます。 | ||||||||||||
| 6 |
Web ブラウザを使用して localhost に移動し、 このツールは、ユーザー名の最初のエントリを使用して、そのアカウントの適切な環境を設定します。 このツールには、標準のサインインプロンプトが表示されます。 | ||||||||||||
| 7 | プロンプトが表示されたら、Control Hub の顧客管理者のサインイン資格情報を入力し、[ログイン] をクリックして、ハイブリッド データ セキュリティに必要なサービスへのアクセスを許可します。 | ||||||||||||
| 8 | [セットアップツールの概要] ページで、[はじめに] をクリックします。 | ||||||||||||
| 9 | ［ISOインポート］ページには、次のオプションがあります。
| ||||||||||||
| 10 | X.509 証明書がX.509 証明書要件の要件を満たしていることを確認してください。
| ||||||||||||
| 11 | HDS のデータベース アドレスとアカウントを入力して、キー データストアにアクセスします。 | ||||||||||||
| 12 | TLS データベース接続モードを選択します。
ルート証明書をアップロードし（必要に応じて）、［続行］をクリックすると、HDS Setup Tool がデータベース サーバへの TLS 接続をテストします。 また、必要に応じて、証明書の署名者とホスト名も検証されます。 テストが失敗した場合、問題を説明するエラー メッセージがツールによって表示されます。 エラーを無視してセットアップを続行するかどうかを選択できます。 （接続性の違いにより、HDS Setup Tool マシンが正常にテストできない場合でも、HDS ノードは TLS 接続を確立できる場合があります）。 | ||||||||||||
| 13 | [システムログ（System Logs）] ページで、Syslogd サーバを設定します。 | ||||||||||||
| 14 | （オプション）一部のデータベース接続パラメータのデフォルト値は、［詳細設定］で変更できます。 通常、このパラメータは、変更する可能性のある唯一のパラメータです。 | ||||||||||||
| 15 | [サービスアカウントのパスワードをリセット] 画面の [続行] をクリックします。 サービスアカウントのパスワードは9ヶ月の寿命を持っています。 パスワードの有効期限が近づいている場合、または以前の ISO ファイルを無効にするためにパスワードをリセットする場合は、この画面を使用します。 | ||||||||||||
| 16 | [ISOファイルのダウンロード] をクリックします。 見つけやすい場所にファイルを保存します。 | ||||||||||||
| 17 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||||||||||||
| 18 | セットアップ ツールをシャットダウンするために次のように入力します。 |
次に行うこと
設定 ISO ファイルをバックアップします。 リカバリのためにより多くのノードを作成したり、設定を変更したりする必要があります。 ISOファイルのコピーをすべて失うと、マスターキーも失われます。 PostgreSQL または Microsoft SQL Server データベースからキーを回復することはできません。
| 私たちはこのキーのコピーを持っていないし、あなたがそれを失ったら助けることができません。 |
HDS ホスト OVA のインストール
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインします。 | ||||||
| 2 | ファイル > OVF テンプレートを展開を選択します。 | ||||||
| 3 | ウィザードで、先ほどダウンロードしたOVAファイルの場所を指定し、 をクリックします。 次へだ | ||||||
| 4 | の 名前とフォルダを選択ページ、を入力します 仮想マシン名ノード（たとえば、「HDS_Node_1」）で、仮想マシンノードの展開が可能な場所を選択し、次へだ | ||||||
| 5 | の 計算リソースを選択ページで、宛先計算リソースを選択し、をクリックします。 次へだ 検証チェックが実行されます。 完了すると、テンプレートの詳細が表示されます。 | ||||||
| 6 | テンプレートの詳細を確認し、［次へ］をクリックします。 | ||||||
| 7 | のリソース設定を選択するよう求められた場合 設定ページ、をクリックします。 4 CPU をクリックし、 をクリックします。 次へだ | ||||||
| 8 | の ストレージを選択ページ、をクリックします。 次へは、デフォルトのディスク形式とVMストレージポリシーを受け入れます。 | ||||||
| 9 | の ネットワークを選択ページで、エントリのリストからネットワークオプションを選択し、仮想マシンへの接続を提供します。 | ||||||
| 10 | [テンプレートのカスタマイズ] ページで、次のネットワーク設定を構成します。
必要に応じて、ネットワーク設定の構成をスキップし、[ハイブリッド データ セキュリティ VM のセットアップ] の手順に従って、ノード コンソールから設定を構成できます。
| ||||||
| 11 | ノードVMを右クリックし、だ。 ハイブリッド データ セキュリティ ソフトウェアは、VM ホストにゲストとしてインストールされます。 これで、コンソールにサインインしてノードを設定する準備ができました。 トラブルシューティングのヒント ノード コンテナーが出てくるまでに、数分間の遅延がある場合があります。 初回起動の間、ブリッジ ファイアウォール メッセージが、コンソールに表示され、この間はサイン インできません。 |
ハイブリッド データ セキュリティ VM のセットアップ
この手順を使用して、ハイブリッド データ セキュリティ ノード VM コンソールに初めてサインインし、サインイン クレデンシャルを設定します。 OVA 展開時に設定しなかった場合は、コンソールを使用してノードのネットワーク設定を構成することもできます。
| 1 | VMware vSphere クライアントで、ハイブリッド データ セキュリティ ノード VM を選択し、[コンソール] タブを選択します。 VM が起動し、ログインプロンプトが表示されます。 ログインプロンプトが表示されない場合は、 入力を押してください。
|
| 2 | 次のデフォルトのログインとパスワードを使用してサインインし、資格情報を変更します。 初めて仮想マシンにサインインするため、管理者パスワードを変更する必要があります。 |
| 3 | ［HDS ホスト OVA のインストール］でネットワーク設定をすでに設定している場合は、残りの手順をスキップします。 それ以外の場合は、メインメニューで［設定の編集］オプションを選択します。 |
| 4 | IP アドレス、マスク、ゲートウェイ、DNS 情報を含む静的設定をセットアップします。 ノードには内部 IP アドレスと DNS 名が必要です。 DHCP はサポートされていません。 |
| 5 | (オプション) ネットワーク ポリシーと一致する必要がある場合は、ホスト名、ドメイン、または NTP サーバを変更します。 X.509 証明書を取得するために使用したドメインと一致するようにドメインを設定する必要はありません。 |
| 6 | ネットワーク設定を保存し、仮想マシンを再起動して、変更を有効にします。 |
HDS 設定 ISO のアップロードとマウント
始める前に
ISOファイルはマスターキーを保持しているため、Hybrid Data Security VMおよび変更が必要な管理者によるアクセスのために、「知る必要性」に基づいてのみ公開する必要があります。 これらの管理者だけがデータストアにアクセスできることを確認してください。
| 1 | コンピュータから ISO ファイルをアップロードします。 |
| 2 | ISO ファイルをマウントします。 |
次に行うこと
IT ポリシーが必要な場合は、すべてのノードが設定変更をピックアップした後、オプションで ISO ファイルのマウントを解除できます。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。
プロキシ統合のために HDS ノードを設定する
ネットワーク環境でプロキシが必要な場合は、この手順を使用して、ハイブリッド データ セキュリティと統合するプロキシのタイプを指定します。 透過型のプロキシまたは HTTPS を明示的なプロキシを選択した場合、ノードのインターフェイスを使用してルート証明書をアップロードしてインストールすることができます。 インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。
始める前に
サポートされているプロキシオプションの概要については、プロキシサポートを参照してください。
| 1 | HDS ノードのセットアップ URL を入力 |
| 2 | [信頼ストアとロキシ] に移動して、次のオプションを選択します。
透過型検査プロキシ、基本認証を持つ HTTP 明示プロキシ、または HTTPS 明示プロキシについては、次のステップに従ってください。 |
| 3 | [ルート証明書またはエンティティ終了証明書のアップロード] をクリックし、プロキシのルート証明書を選択するために移動します。 証明書はアップロードされていますが、まだインストールされていません。証明書をインストールするにはノードを再起動する必要があります。 証明書発行者名の山形矢印をクリックして詳細を確認するか、間違っている場合は [削除] をクリックして、ファイルを再度アップロードしてください。 |
| 4 | [プロキシ接続を確認する] をクリックして、ノードとプロキシ間のネットワーク接続性をテストします。 接続テストが失敗した場合は、エラーメッセージが表示され、問題を解決するための理由と方法が示されます。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しています。 この状況は、多くの明示的なプロキシ構成で想定されています。 セットアップを続行すると、ノードは外部 DNS 解決ブロックモードで機能します。 これがエラーと思われる場合は、次の手順を実行し、「ブロックされた外部 DNS 解決モードをオフにする」を参照してください。 |
| 5 | 接続テストが成功した後、明示的なプロキシについては https のみに設定し、このノードからの すべてのポートの 443/444 https 要求を明示的プロキシを通してルーティングするように切り替えます。 この設定を有効にするには 15 秒かかります。 |
| 6 | [すべての証明書を信頼ストアにインストールする(HTTPS 明示プロキシまたは透過型のプロキシで表示される)] または [再起動] をクリックして、プロンプトを読み、準備が完了したら [インストール] をクリックします。 ノードが数分以内に再起動されます。 |
| 7 | ノードが再起動したら、必要に応じて再度サインインして、[概要] ページを開き、接続チェックを確認してすべて緑色のステータスになっていることを確認します。 プロキシ接続の確認は webex.com のサブドメインのみをテストします。 接続の問題がある場合、インストール手順に記載されているクラウド ドメインの一部がプロキシでブロックされているという問題がよく見られます。 |
クラスタ内の最初のノードを登録する
最初のノードを登録するとき、クラスターをノードが指定されている場所に作成します。 クラスタには、冗長性を提供するために展開された 1 つ以上のノードが含まれています。
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | https://admin.webex.comにサインインします。 |
| 2 | スクリーンの左側にあるメニューからサービスを選択します。 |
| 3 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[セットアップ] をクリックします。 [ハイブリッド データ セキュリティ ノードの登録] ページが表示されます。
|
| 4 | ノードを設定し、登録する準備ができていることを示すには、「はい」を選択し、「次へ」をクリックします。 |
| 5 | 最初のフィールドに、ハイブリッド データ セキュリティ ノードを割り当てるクラスタの名前を入力します。 クラスタのノードが地理的にどこに配置されているかに基づきクラスタに名前を付けることをお薦めします。 例: 「サンフランシスコ」「ニューヨーク」「ダラス」 |
| 6 | 2 番目のフィールドに、ノードの内部 IP アドレスまたは完全修飾ドメイン名（FQDN）を入力し、[次へ] をクリックします。 この IP アドレスまたは FQDN は、ハイブリッド データ セキュリティ VM のセットアップ で使用した IP アドレスまたはホスト名とドメインと一致する必要があります。 ノードを Webex に登録できることを示すメッセージが表示されます。
|
| 7 | [ノードに進む] をクリックします。 |
| 8 | 警告メッセージの [続ける] をクリックします。 しばらくすると、Webex サービスのノード接続テストにリダイレクトされます。 すべてのテストが成功すると、[ハイブリッド データ セキュリティ ノードへのアクセスを許可（Allow Access to Hybrid Data Security Node）] ページが表示されます。 ここで、ノードにアクセスする権限を Webex 組織に付与することを確認します。
|
| 9 | [ハイブリッド データ セキュリティ ノードへのアクセスを許可] チェックボックスをオンにして、[続行] をクリックします。 アカウントが検証され、「登録完了」メッセージは、ノードが Webex クラウドに登録されたことを示します。
|
| 10 | リンクをクリックするか、タブを閉じて、[Control Hub ハイブリッド データ セキュリティ] ページに戻ります。 [ハイブリッド データ セキュリティ] ページで、登録したノードを含む新しいクラスタが表示されます。 ノードはクラウドから最新のソフトウェアを自動的にダウンロードします。
|
より多くのノードを作成して登録する
| 現時点では、「ハイブリッド データ セキュリティの前提条件を完了」で作成したバックアップ VM は、ディザスタ リカバリーの場合にのみ使用されるスタンバイ ホストであり、それまではシステムに登録されていません。 詳細については、「スタンバイデータセンターを使用した災害復旧」を参照してください。 |
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | OVA から新しい仮想マシンを作成し、「HDS ホスト OVA のインストール」の手順を繰り返します。 |
| 2 | 新しい仮想マシンで初期設定を行い、「ハイブリッド データ セキュリティ 仮想マシンのセットアップ」の手順を繰り返します。 |
| 3 | 新しい VM で、「Upload and Mount the HDS Configuration ISO」の手順を繰り返します。 |
| 4 | 展開のプロキシを設定する場合は、新しいノードに必要に応じ「プロキシ統合の HDS ノードを設定する」の手順を繰り返します。 |
| 5 | ノードを登録します。 ノードが登録されています。 トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成することに注意してください。
|
次に行うこと
プロダクション タスク フローへの試行
ハイブリッド データ セキュリティ クラスタをセットアップした後、パイロットを起動し、ユーザーを追加し、本番環境への移行に備えて展開のテストと検証に使用を開始できます。
| 1 | 必要に応じて、 組織でユーザーのディレクトリ同期を使用している場合は、 |
| 2 |
トライアルを開始します。 このタスクを実行するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
| 3 |
重要な要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
| 4 |
ステータスを確認し、アラームのメール通知を設定します。 |
| 5 | |
| 6 | 以下のいずれかの操作を行い、治験の段階を完了します。 |
トライアルの有効化
始める前に
組織でユーザーのディレクトリ同期を使用している場合は、 HdsTrialGroup 組織のトライアルを開始する前に、クラウドに同期するためのグループ オブジェクト。 手順については、 Cisco Directory Connector 展開ガイドを参照してください。
| 1 | https://admin.webex.comにサインインし、「サービス」を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[トライアルの開始] をクリックします。 サービス ステータスがトライアル モードに変わります。
|
| 4 | [ユーザーの追加] をクリックし、暗号化およびインデックスサービスのためにハイブリッド データ セキュリティ ノードを使用してパイロットする 1 人以上のユーザーのメール アドレスを入力します。 (組織がディレクトリ同期を使用している場合は、Active Directory を使用してトライアル グループを管理します。 |
ハイブリッド データ セキュリティ展開をテストする
始める前に
ハイブリッド データ セキュリティの展開をセットアップします。
トライアルを有効にし、複数のトライアル ユーザーを追加します。
キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認するために、syslog にアクセスできることを確認します。
| 1 | 特定のスペースのキーは、スペースの作成者によって設定されます。 パイロットユーザーの 1 人として Webex アプリにサインインし、スペースを作成し、少なくとも 1 人のパイロットユーザーと 1 人の非パイロットユーザーを招待します。
| ||
| 2 | 新しいスペースにメッセージを送信します。 | ||
| 3 | syslog 出力をチェックして、キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
ハイブリッド データ セキュリティの健全性を監視する
| 1 | Control Hubで、画面左側のメニューからサービスを選択します。 |
| 2 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[設定] をクリックします。 [ハイブリッド データ セキュリティ設定] ページが表示されます。
|
| 3 | [メール通知] セクションで、カンマで区切られた 1 つ以上のメールアドレスを入力し、[Enter] を押します。 |
トライアルからユーザーを追加または削除する
トライアルからユーザーを削除すると、ユーザーのクライアントは KMS ではなく、クラウド KMS からキーとキーの作成を要求します。 クライアントが KMS に保存されているキーを必要とする場合、クラウド KMS はユーザーに代わってキーを取得します。
組織がディレクトリ同期を使用している場合、Active Directory (この手順の代わりに) を使用してトライアル グループを管理します。 HdsTrialGroup; Control Hub でグループメンバーを表示できますが、追加または削除することはできません。
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] 領域の [トライアルモード（Trial Mode）] セクションで、[ユーザーの追加（Add Users）] をクリックするか、[表示と編集] をクリックしてユーザーをトライアルから削除します。 |
| 4 | 追加する 1 人以上のユーザーのメールアドレスを入力するか、ユーザー ID の X をクリックしてユーザーをトライアルから削除します。 その後、[保存] をクリックします。 |
トライアルからプロダクションへの移行
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[本番環境に移動] をクリックします。 |
| 4 | すべてのユーザーを本番環境に移行することを確認します。 |
本番環境に移行せずにトライアルを終了する
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | 「Deactivate（無効化）」セクションで「Deactivate（無効化）」をクリックします。 |
| 4 | サービスを無効にしてトライアルを終了することを確認します。 |
HDS 展開の管理
ここで説明するタスクを使用して、ハイブリッド データ セキュリティの展開を管理します。
クラスタアップグレードスケジュールの設定
アップグレードスケジュールを設定するには:
| 1 | Control Hub にサインインします。 |
| 2 | [概要] ページの [ハイブリッド サービス] で、[ハイブリッド データ セキュリティ] を選択します。 |
| 3 | [ハイブリッド データ セキュリティ リソース] ページで、クラスタを選択します。 |
| 4 | 右側の [概要] パネルの [クラスタ設定] で、クラスタ名を選択します。 |
| 5 | 設定ページのアップグレードの下で、アップグレードのスケジュール設定を希望する時間およびタイムゾーンを選択します。 メモ: タイムゾーンの下に、次に可能なアップグレードの日時が表示されます。 必要に応じて、[延期] をクリックすることでアップグレードを翌日に延期することもできます。 |
ノードの設定を変更する
有効期限が切れる、または他の理由による、x.509 証明書の変更。
証明書の CN ドメイン名の変更はサポートされていません。 ドメインは、クラスターを登録するために使用される元のドメインと一致する必要があります。
データベース設定を更新して、PostgreSQL または Microsoft SQL Server データベースのレプリカを変更します。
PostgreSQL から Microsoft SQL Server への、またはその逆へのデータ移行はサポートしていません。 データベース環境を切り替えるには、ハイブリッド データ セキュリティの新しい展開を開始します。
新しい構成を作成して新しいデータセンターの準備をする。
また、セキュリティ上の理由により、ハイブリッド データ セキュリティは 9 か月間使用可能なサービス アカウント パスワードを使用します。 HDS セットアップ ツールがこれらのパスワードを生成した後で、ISO 構成ファイルの各 HDS ノードに展開します。 組織のパスワードの有効期限切れが近い場合、Webex チームから「パスワード期限切れ通知」を受け取り、マシン アカウントのパスワードのリセットを求められます。 (メールにはテキスト「マシン アカウント API を使用してパスワードを更新します」を含みます。) パスワードの有効期限が切れるまで時間が十分にある場合、ツールには次の 2 つのオプションがあります:
ソフト リセット— 古いパスワードと新しいパスワードは最大 10 日間有効です。 この期間を使用して、ノードの ISO ファイルを段階的に置き換えることができます。
ハード リセット—古いパスワードは即時に機能を停止します。
パスワードをリセットせずに期限切れになる場合、HDS サービスに影響を与える可能性があります。すぐにハード リセットし、すべてのノードの ISO ファイルを置換する必要があります。
この手順を使用して、新しい構成 ISO ファイルを生成し、クラスターに適用します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、1.eで Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT新しい構成を生成するには、現在の構成 ISO ファイルのコピーが必要です。 ISO には PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーを含むです。 データベースの証明書、証明書の更新、認証方針への変更を含む、構成の変更を行った場合は ISO が必要です。
| 1 | ローカル マシンで Docker を使用し、HDS セットアップ ツールを実行します。
| ||||||
| 2 | を実行している HDS ノードが 1 個のみある場合、新しいノード VM を作成し、新しいハイブリッド データ セキュリティ ノード VM を作成し、新しい構成 ISO ファイルを使用してそれを登録します。 手順の詳細については、「追加のノードを作成して登録する」を参照してください。 | ||||||
| 3 | 古い構成ファイルを実行している既存の HDS ノードの場合、ISO ファイルをマウントします。 各ノードで以下の手順を実行し、次のノードをオフにする前に、各ノードを更新します。 | ||||||
| 4 | ステップ 3 を繰り返し、古い構成ファイルを実行している残りの各ノードで構成を置き換えます。 |
外部 DNS 解決ブロックモードをオフにする
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 ノードの DNS サーバーがパブリック DNS 名を解決できない場合、ノードは自動的に外部 DNS 解決ブロックモードに進みます。
ノードが内部 DNS サーバーを通してパブリック DNS 名を解決できる場合、各ノードでプロキシ接続テストを再実行することで、このモードをオフにすることができます。
始める前に
| 1 | Web ブラウザで、ハイブリッド データ セキュリティ ノード インターフェイス (IP アドレス/セットアップ、たとえば、ノードに設定した管理者資格情報をhttps://192.0.2.0/setup), 入力し、[サインイン] をクリックします。 |
| 2 | [概要] (デフォルトページ) に移動します。 有効になっている場合、 [外部 DNS 解決ブロック] は [はい] に設定されています。 |
| 3 | [信頼ストアとプロキシ] ページに移動します。 |
| 4 | [プロキシ接続を確認する] をクリックします。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しており、このモードに留まっています。 そうでない場合には、ノードを再起動して[概要] ページに戻ると、[外部 DNS 解決ブロック] は [いいえ] に設定されるはずです。 |
次に行うこと
ノードの削除
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインし、仮想マシンの電源を切ります。 |
| 2 | ノードを削除します。 |
| 3 | vSphere クライアントで、仮想マシンを削除します (左側のナビゲーションペインで、仮想マシンを右クリックし、[削除] をクリックします)。 仮想マシンを削除しない場合は、設定の ISO ファイルのマウントを解除することを忘れないでください。 ISO ファイルがないと、VM を使用してセキュリティ データにアクセスすることはできません。 |
スタンバイデータセンターを使用したディザスタ リカバリ
ハイブリッド データ セキュリティ クラスタが提供する最も重要なサービスは、Webex クラウドに保存されているメッセージやその他のコンテンツを暗号化するために使用されるキーの作成と保存です。 ハイブリッド データ セキュリティに割り当てられている組織内の各ユーザーについて、新しいキー作成要求がクラスタにルーティングされます。 また、クラスタは、作成したキーを、カンバセーションスペースのメンバーなど、取得を許可されたユーザーに返却する責任があります。
クラスタは、これらのキーを提供するという重要な機能を実行するため、クラスタが実行され、適切なバックアップが維持されることが不可欠です。 ハイブリッド データ セキュリティ データベースまたはスキーマに使用されている構成 ISO が失われると、顧客のコンテンツが回復不能に失われます。 このような損失を防ぐには、以下の慣行が必須です。
災害により、プライマリデータセンターの HDS 展開が使用できなくなる場合は、次の手順に従って、スタンバイデータセンターに手動でフェールオーバーします。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。 | ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加するか、
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
（オプション）HDS設定後にISOをアンマウントする
標準の HDS 構成は、ISO マウントで実行されます。 しかし、一部の顧客は、ISOファイルを継続的にマウントしたままにしないことを好みます。 すべての HDS ノードが新しい設定をピックアップした後、ISO ファイルのマウントを解除できます。
ISO ファイルを使用して、設定を変更します。 新しい ISO を作成するか、セットアップツールを使用して ISO を更新する場合は、更新された ISO をすべての HDS ノードにマウントする必要があります。 すべてのノードが設定変更をピックアップしたら、この手順で再び ISO のマウントを解除できます。
始める前に
すべての HDS ノードをバージョン 2021.01.22.4720 以降にアップグレードします。
| 1 | 1 つの HDS ノードをシャットダウンします。 |
| 2 | vCenter Server Appliance で、HDS ノードを選択します。 |
| 3 | を選択し、［データストアISOファイル］のチェックを外します。 |
| 4 | HDS ノードの電源を入れ、少なくとも 20 分間アラームがないことを確認します。 |
| 5 | HDS ノードごとに順番に繰り返します。 |
アラートとトラブルシューティングの表示
ハイブリッド データ セキュリティの展開は、クラスタ内のすべてのノードに到達できない場合、またはクラスタが非常にゆっくりと動作しているため、要求がタイムアウトした場合、利用できないと見なされます。 ユーザーがハイブリッド データ セキュリティ クラスタに到達できない場合、次の症状が発生します。
新しいスペースを作成できません (新しいキーを作成できません)
メッセージとスペース タイトルの復号に失敗する:
新規ユーザーがスペースに追加されました (キーを取得できません)
新しいクライアントを使用するスペース内の既存のユーザー (キーを取得できません)
スペース内の既存のユーザーは、クライアントが暗号化キーのキャッシュを持っている限り、正常に動作し続けます。
ハイブリッド データ セキュリティ クラスタを適切に監視し、サービスの中断を避けるために速やかにアラートに対処することが重要です。
警告
ハイブリッド データ セキュリティのセットアップに問題がある場合、Control Hub は組織管理者にアラートを表示し、設定されたメール アドレスにメールを送信します。 アラートは、多くの一般的なシナリオをカバーしています。
警告 | アクション |
|---|---|
ローカル データべースへのアクセスに失敗しました。 |
データベース エラーまたはローカル ネットワークの問題を確認します。 |
ローカルデータベース接続に失敗しました。 |
データベース サーバが使用可能であり、ノード設定で適切なサービス アカウント クレデンシャルが使用されていることを確認します。 |
クラウド サービスへのアクセスに失敗しました。 |
外部接続要件で指定されているように、ノードが Webex サーバーにアクセスできることを確認します。 |
クラウドサービス登録の更新。 |
クラウドサービスへの登録が削除されました。 登録の更新が進行中です。 |
クラウドサービスの登録が削除されました。 |
クラウドサービスへの登録が終了しました。 サービスが停止しています。 |
サービスはまだアクティベートされていません。 |
トライアルを有効にするか、トライアルを本番環境に移行します。 |
設定されたドメインがサーバー証明書と一致しません。 |
サーバー証明書が設定されたサービス アクティベーション ドメインと一致していることを確認します。 最も可能性の高い原因は、証明書 CN が最近変更され、初期設定で使用された CN とは異なるようになったためです。 |
クラウド サービスの認証に失敗しました。 |
サービスアカウントの資格情報の正確さと有効期限の可否を確認します。 |
ローカル キーストア ファイルを開くことができませんでした。 |
ローカル キーストア ファイルの整合性とパスワードの正確性を確認します。 |
ローカルサーバー証明書が無効です。 |
サーバ証明書の有効期限を確認し、信頼できる認証局によって発行されていることを確認します。 |
メトリクスを投稿できません。 |
外部クラウド サービスへのローカル ネットワーク アクセスを確認します。 |
/media/configdrive/hds ディレクトリが存在しません。 |
仮想ホストの ISO マウント設定を確認します。 ISO ファイルが存在すること、再起動時にマウントするように設定されていること、正常にマウントされていることを確認します。 |
ハイブリッド データ セキュリティのトラブルシューティング
| 1 | アラートについては Control Hub を確認し、見つかった項目を修正します。 |
| 2 | ハイブリッド データ セキュリティ展開からのアクティビティの syslog サーバー出力を確認します。 |
| 3 | Cisco サポート にお問い合わせください。 |
ハイブリッド データ セキュリティの既知の問題
ハイブリッド データ セキュリティ クラスタをシャットダウンする (Control Hub で削除するか、すべてのノードをシャットダウンする)、構成 ISO ファイルを失う、またはキーストア データベースへのアクセスを失う場合、Webex アプリのユーザーは、KMS のキーを使用して作成された [ユーザー] リストの下のスペースを使用できなくなります。 これは、トライアル展開と本番展開の両方に適用されます。 現在、この問題の回避策や修正はありません。HDS サービスがアクティブなユーザーアカウントを処理したら、HDS サービスをシャットダウンしないようにしてください。
KMS への既存の ECDH 接続を持つクライアントは、その接続を一定期間 (おそらく 1 時間) 維持します。 ユーザーがハイブリッド データ セキュリティ トライアルのメンバーになると、ユーザーのクライアントは、タイムアウトするまで既存の ECDH 接続を引き続き使用します。 代わりに、ユーザーは Webex アプリ アプリにサインアウトして再度ログインして、アプリが暗号化キーの連絡先を更新できます。
同じ動作は、組織のトライアルを本番環境に移行する場合にも発生します。 以前のデータ セキュリティ サービスへの既存の ECDH 接続を持つすべての非トライアル ユーザーは、ECDH 接続が再ネゴシエートされるまで (タイムアウトまたはサインアウトして戻る)、これらのサービスを使用し続けます。
OpenSSL を使用して PKCS12 ファイルを生成する
始める前に
OpenSSLは、HDSセットアップツールでロードするための適切な形式でPKCS12ファイルを作成するために使用できるツールの1つです。 これを行うには他の方法があり、私たちは別の方法よりも支持または促進しません。
OpenSSLを使用することを選択した場合は、X.509証明書要件を満たすファイルを作成するのに役立つガイドラインとして、この手順を提供しています。 X.509 証明書の要件は... 続行する前にこれらの要件を理解してください。
サポートされている環境で OpenSSL をインストールします。 ソフトウェアとマニュアルについてはhttps://www.openssl.orgを参照してください。
秘密鍵を作成します。
認証局（CA）からサーバ証明書を受け取ったら、この手順を開始します。
| 1 | CA からサーバー証明書を受け取ったら、次のように保存します。 |
| 2 | 証明書をテキストとして表示し、詳細を確認します。
|
| 3 | テキスト エディタを使用して、証明書バンドル ファイルを作成します。
|
| 4 | 親しみやすい名前で .p12 ファイルを作成する
|
| 5 | サーバ証明書の詳細を確認してください。 |
次に行うこと
「 ハイブリッド データ セキュリティの前提条件を満たす」に戻ります。 次を使用します: hdsnode.p12［HDSホストの設定ISOの作成］で設定したファイルとパスワード。
| これらのファイルを再使用して、元の証明書の有効期限が切れたときに新しい証明書を要求できます。 |
HDS ノードとクラウド間のトラフィック
アウトバウンドメトリック収集トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドに特定のメトリックを送信します。 これには、ヒープ最大、使用されるヒープ、CPU 負荷、およびスレッド数のシステムメトリクス、同期スレッドと非同期スレッドのメトリクス、暗号化接続のしきい値、遅延、またはリクエストキュー長を含むアラートのメトリクス、データストアのメトリクス、および暗号化接続メトリックが含まれます。 ノードは、（リクエストとは別に）帯域外チャネル上で暗号化されたキー素材を送信します。
着信トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドから次のタイプのインバウンド トラフィックを受信します。
暗号化サービスによってルーティングされるクライアントからの暗号化要求
ノード ソフトウェアへのアップグレード
ハイブリッド データ セキュリティの Squid プロキシを設定する
Websocket は Squid プロキシを通じて接続できません
Mサイズは箱入りとなります Sサイズは箱なしでのラッピングとなります ギフトボックス・ラッピングについて ＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿ wss:) ハイブリッド データ セキュリティが必要とする接続。 これらのセクションでは、無視するためにさまざまなバージョンの Squid を設定する方法について説明します。 wss: これは、サービスの適切な運用のためのトラフィックです。
Squid 4 および5
次を追加します: on_unsupported_protocol 指示する squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
次のルールが追加され、ハイブリッド データ セキュリティが正常にテストされました。 squid.conf です。 これらのルールは、機能を開発し、Webex クラウドを更新する際に変更されることがあります。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新規および変更された情報
日付 | 変更履歴 | ||
|---|---|---|---|
2023年10月20日。 |
| ||
2023年8月7日。 |
| ||
2023年5月23日。 |
| ||
2022 年 12 月 06 日 |
| ||
2022年11月23日。 |
| ||
2021 年 10 月 13 日 | HDS ノードをインストールする前に、Docker Desktop でセットアッププログラムを実行する必要があります。 Docker デスクトップの要件を参照してください。 | ||
2017 年 6 月 24 日 | 秘密鍵ファイルと CSR を再使用して別の証明書を要求できることに注意してください。 詳細については、「OpenSSL を使用して PKCS12 ファイルを生成する」を参照してください。 | ||
| 2021 年 4 月 30 日 | ローカル ハード ディスク スペースの VM 要件を 30 GB に変更しました。 詳細については、「仮想ホスト要件」を参照してください。 | ||
2021 年 2 月 24 日 | HDS セットアップ ツールは、プロキシの後ろで実行できるようになりました。 詳細については、「HDS ホストの設定 ISO を作成する」を参照してください。 | ||
2021 年 2 月 2 日 | HDS は、マウントされた ISO ファイルなしで実行できるようになりました。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。 | ||
2021年1月11日。 | HDSセットアップツールとプロキシに関する情報を追加し、HDSホストの設定ISOを作成しました。 | ||
2020/10/13 | インストールファイルのダウンロードを更新しました。 | ||
2020/10/08 | 更新HDSホスト用の構成ISOの作成およびFedRAMP環境のコマンドによるノード構成の変更。 | ||
2020 年 8 月 14 日 | サインイン プロセスの変更に伴い、「HDS ホストの構成 ISO を作成する」および「ノード構成を変更する」が更新されました。 | ||
2020年8月5日水曜日 | ログ メッセージの変更に関するハイブリッド データ セキュリティ展開のテストを更新しました。 ホストの最大数を削除する仮想ホスト要件を更新しました。 | ||
2020 年 6 月 16 日 | Control Hub UI の変更に関するノードの削除を更新しました。 | ||
2020 年 6 月 4 日 | 設定する詳細設定の変更に関するHDS ホストの設定 ISO の作成を更新しました。 | ||
2020 年 5 月 29 日 | SQL Serverデータベース、UI変更、およびその他の説明でTLSを使用できることを示すために、HDSホストの構成ISOを作成するを更新しました。 | ||
2020 年 5 月 5 日 | ESXi 6.5 の新しい要件を表示するために、仮想ホスト要件を更新しました。 | ||
2020 年 4 月 21 日 | 新しい Americas CI ホストとの外部接続要件が更新されました。 | ||
2020 年 4 月 1 日 | 地域 CI ホストに関する情報で外部接続要件が更新されました。 | ||
| 2020年2月20日水曜日 | HDSセットアップツールの新しいオプションの詳細設定画面に関する情報を記載したHDSホストの設定ISOを作成を更新しました。 | ||
| 2020年2月4日。 | プロキシサーバーの要件を更新しました。 | ||
| 2019年12月16日 | ブロックされた外部 DNS 解決モードがプロキシサーバーの要件で動作する要件を明確化しました。 | ||
| 2019 年 11 月 19 日 | 次のセクションで、ブロックされた外部 DNS 解決モードに関する情報を追加しました。 | ||
2019 年 11 月 8 日 | OVA を後で展開するのではなく、ノードのネットワーク設定を構成できるようになりました。 以下のセクションを適宜更新しました。
| ||
2019年9月6日水曜日 | データベースサーバーの要件にSQL Server Standardを追加しました。 | ||
| 2019 年 8 月 29 日 | 適切な動作のためにWebSocketトラフィックを無視するようにSquidプロキシを設定する方法についてのガイダンスが追加されました。Configure Squid Proxies for Hybrid Data Securityの付録が追加されました。 | ||
| 2019 年 8 月 20 日 | Webex クラウドへのハイブリッド データ セキュリティ ノード通信のプロキシ サポートをカバーするセクションを追加および更新しました。 既存の展開のプロキシ サポート コンテンツだけにアクセスするには、「ハイブリッド データ セキュリティと Webex ビデオ メッシュのプロキシ サポート」のヘルプ記事を参照してください。 | ||
| 2019年6月13日。 | トライアルから本番稼働タスク フローに更新し、 HdsTrialGroup 組織がディレクトリ同期を使用している場合、トライアルを開始する前にグループ オブジェクト。 | ||
| 2019年3月6日（火） |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018年11月5日。 |
| ||
| 2018年10月19日水曜日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018/05/21 | Cisco Spark のリブランディングを反映する用語の変更:
| ||
| 2018年4月11日。 |
| ||
| 2018年2月22日水曜日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017年11月2日。 |
| ||
2017年8月18日。 | 初公開。 |
ハイブリッド データ セキュリティの概要
初日から、Webex アプリの設計において、データ セキュリティが主な焦点となっています。 このセキュリティはエンドツーエンドのコンテンツ暗号化を基礎とし、 Webexアプリ クライアントがキー管理サービス (KMS) とやり取りすることで実現しました。 KMS はメッセージとファイルを動的に暗号化し、解読するためにクライアントが使用する暗号キーの作成と管理の責任を負っています。
デフォルトでは、すべての Webex アプリの顧客は、Cisco のセキュリティ領域にあるクラウド KMS に保存されている動的キーを使用して、エンドツーエンドの暗号化を取得します。 ハイブリッド データ セキュリティは、KMS とその他のセキュリティ関連の機能をあなたのエンタープライズ データ センターに移動するため、誰でもなくあなたが暗号化コンテンツの鍵を持っています。
セキュリティRealmアーキテクチャ
Webex クラウド アーキテクチャは、以下に示すように、さまざまなタイプのサービスを別々の領域、または信頼ドメインに分離します。
ハイブリッド データ セキュリティをさらに理解するには、まず、シスコがクラウド レルムですべての機能を提供しているこの純粋なクラウド ケースを見てみましょう。 メールアドレスなどの個人情報とユーザーが直接相関できる唯一の場所であるアイデンティティサービスは、データセンターBのセキュリティ領域と論理的かつ物理的に分離されています。
この図では、クライアントはユーザーのラップトップで実行されている Webex アプリであり、ID サービスで認証されています。 ユーザがスペースに送信するメッセージを作成すると、次の手順が実行されます。
クライアントは、キー管理サービス（KMS）とのセキュアな接続を確立し、メッセージを暗号化するためのキーを要求します。 安全な接続は ECDH を使用し、KMS は AES-256 マスター キーを使用してキーを暗号化します。
メッセージはクライアントを離れる前に暗号化されます。 クライアントはインデックスをインデックスサービスに送信します。これにより、暗号化された検索インデックスが作成され、今後のコンテンツの検索に役立ちます。
暗号化されたメッセージは、コンプライアンス チェックのためにコンプライアンス サービスに送信されます。
暗号化されたメッセージはストレージ領域に保存されます。
ハイブリッド データ セキュリティを展開すると、セキュリティ レルム機能 (KMS、インデックス、コンプライアンス) をオンプレミスのデータセンターに移動します。 Webex を構成する他のクラウド サービス (ID とコンテンツ ストレージを含む) は、シスコの領域に残ります。
他の組織との連携
組織内のユーザーは、Webex アプリを定期的に使用して、他の組織の外部参加者とコラボレーションできます。 ユーザーの 1 人が組織によって所有されているスペースのキーを要求すると（ユーザーの 1 人が作成したため）、KMS は ECDH 保護されたチャネルを介してキーをクライアントに送信します。 ただし、別の組織がスペースのキーを所有している場合、KMS は別の ECDH チャネルを介してリクエストを WEBEX クラウドにルーティングして、適切な KMS からキーを取得し、元のチャネルのユーザーにキーを返します。
組織 A で実行されている KMS サービスは、x.509 PKI 証明書を使用して他の組織の KMS への接続を検証します。 ハイブリッド データ セキュリティの展開で使用する x.509 証明書の生成の詳細については、「環境の準備」を参照してください。
ハイブリッド データ セキュリティの展開への期待
ハイブリッド データ セキュリティの展開には、重要な顧客のコミットメントと、暗号化キーの所有に伴うリスクの認識が必要です。
ハイブリッド データ セキュリティを展開するには、以下を提供する必要があります。
Cisco Webex Teams プランで サポートされている国の安全なデータセンター。
環境の準備で説明する装置、ソフトウェア、およびネットワークアクセス。
ハイブリッド データ セキュリティ用に構築する構成 ISO または提供されたデータベースのいずれかを完全に失うと、キーが失われます。 キー損失は、ユーザーが Webex アプリでスペース コンテンツやその他の暗号化されたデータを復号することを防ぎます。 この場合、新しい展開を構築できますが、新しいコンテンツのみが表示されます。 データへのアクセスの損失を避けるには、以下を行う必要があります。
データベースのバックアップとリカバリ、および構成ISOを管理します。
データベースのディスク障害やデータセンター障害などの大災害が発生した場合、迅速な災害復旧を実行する準備をしてください。
| HDS 導入後にキーをクラウドに戻すメカニズムはありません。 |
高レベルのセットアッププロセス
このドキュメントでは、ハイブリッド データ セキュリティ展開のセットアップと管理について説明します。
ハイブリッド データ セキュリティのセットアップ—これには、必要なインフラストラクチャの準備とハイブリッド データ セキュリティ ソフトウェアのインストール、トライアル モードでのユーザーのサブセットを使用した展開のテスト、テストが完了すると本番環境に移行することが含まれます。 これにより、組織全体がセキュリティ機能にハイブリッド データ セキュリティ クラスタを使用できるようになります。
セットアップ、トライアル、および生産の各段階は、次の3つの章で詳しく説明されています。
ハイブリッド データ セキュリティの展開を維持する—Webex クラウドは自動的に継続的なアップグレードを提供します。 IT 部門は、この展開に対してティア 1 のサポートを提供し、必要に応じてシスコのサポートを引き受けることができます。 画面上の通知を使用し、Control Hub でメールベースのアラートを設定できます。
一般的なアラート、トラブルシューティング手順、および既知の問題について理解する—ハイブリッド データ セキュリティの展開または使用で問題が発生した場合、このガイドの最後の章と既知の問題の付録は、問題を決定および修正するのに役立ちます。
ハイブリッド データ セキュリティ展開モデル
エンタープライズ データ センターでは、ハイブリッド データ セキュリティを個別の仮想ホスト上のノードの単一のクラスタとして展開します。 ノードは、セキュアなウェブソケットとセキュアな HTTP を通じて Webex クラウドと通信します。
インストールプロセス中に、提供するVM上の仮想アプライアンスを設定するためのOVAファイルを提供します。 HDS セットアップ ツールを使用して、各ノードにマウントするカスタム クラスタ構成 ISO ファイルを作成します。 ハイブリッド データ セキュリティ クラスタは、提供された Syslogd サーバーと PostgreSQL または Microsoft SQL Server データベースを使用します。 (HDS セットアップツールで Syslogd とデータベース接続の詳細を設定します。)
クラスタに持つことができるノードの最小数は 2 です。 私たちは少なくとも3つをお勧めします、そしてあなたは最大5つを持つことができます。 複数のノードを持つことにより、ノードのソフトウェアアップグレードやその他のメンテナンス作業中にサービスが中断されないようにします。（Webex クラウドは一度に 1 つのノードのみをアップグレードします。）
クラスタ内のすべてのノードが同じキーデータストアにアクセスし、同じ syslog サーバにアクティビティをログします。 ノード自体はステートレスであり、クラウドの指示に従って、ラウンドロビン方式で重要な要求を処理します。
ノードは、Control Hub に登録するとアクティブになります。 個々のノードをサービスから削除するには、登録を解除し、必要に応じて後で再登録できます。
組織ごとに 1 つのクラスタのみをサポートします。
ハイブリッド データ セキュリティ トライアル モード
ハイブリッド データ セキュリティの展開をセットアップした後、最初にパイロット ユーザーのセットで試してください。 トライアル期間中、これらのユーザーは暗号化キーやその他のセキュリティ領域サービスにオンプレミスのハイブリッド データ セキュリティ ドメインを使用します。 他のユーザーは引き続きクラウド セキュリティ レルムを使用します。
トライアル中に展開を続行せず、サービスを無効にすると、パイロットユーザーとトライアル期間中に新しいスペースを作成して対話したユーザーは、メッセージとコンテンツへのアクセス権を失います。 Webex アプリに「このメッセージは復号化できません」と表示されます。
導入がトライアル ユーザーに対してうまく機能しており、ハイブリッド データ セキュリティをすべてのユーザーに拡張する準備ができている場合は、導入を本番環境に移行します。 パイロットのユーザーは、トライアル中に使用されたキーにアクセスできます。 ただし、プロダクションモードと元のトライアルを行ったり来たりすることはできません。 ディザスタ リカバリを実行するなど、サービスを非アクティブ化する必要がある場合は、再アクティブ化時に新しいトライアルを開始し、新しいトライアルのパイロット ユーザーのセットを設定してから、プロダクション モードに戻す必要があります。 ユーザがこの時点でデータへのアクセスを保持するかどうかは、クラスタ内のハイブリッド データ セキュリティ ノードのキー データ ストアと ISO 構成ファイルのバックアップを正常に維持したかどうかに依存します。
災害復旧のためのスタンバイデータセンター
展開中に、セキュアなスタンバイデータセンターを設定します。 データセンターに障害が発生した場合、スタンバイデータセンターへの展開を手動で失敗させることができます。
アクティブ データ センターとスタンバイ データ センターのデータベースが相互に同期されているため、フェールオーバーを実行するのにかかる時間が最小限に抑えられます。 スタンバイデータセンターの ISO ファイルは、ノードが組織に登録されていることを確認する追加の構成で更新されますが、トラフィックは処理されません。 したがって、スタンバイデータセンターのノードは、常に最新バージョンのHDSソフトウェアで最新の状態に保たれます。
| アクティブなハイブリッド データ セキュリティ ノードは、常にアクティブなデータベース サーバと同じデータセンターにある必要があります。 |
災害復旧のためのスタンバイデータセンターを設定
スタンバイデータセンターの ISO ファイルを設定するには、以下の手順に従います。
始める前に
スタンバイデータセンターは、VMとバックアップPostgreSQLまたはMicrosoft SQL Serverデータベースの生産環境をミラーリングする必要があります。 たとえば、本番環境に HDS ノードを実行する 3 台の仮想マシンがある場合、バックアップ環境には 3 台の仮想マシンが必要です (このフェールオーバーモデルの概要については、「Standby Data Center for Disaster Recovery」を参照してください)。
アクティブクラスタノードとパッシブクラスタノードのデータベース間でデータベース同期が有効になっていることを確認します。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。
| ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加して、ノードをパッシブモードにします。 このモードでは、ノードは組織に登録され、クラウドに接続されますが、トラフィックは処理されません。
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
設定後 passiveMode ISOファイルに保存すると、ISOファイルの別のコピーを作成できます。 passiveMode 設定し、安全な場所に保存します。 このISOファイルのコピー passiveMode 設定すると、ディザスタ リカバリ中の迅速なフェールオーバー プロセスに役立ちます。 詳細なフェールオーバー手順については、「 スタンバイデータセンターを使用したディザスタ リカバリ」を参照してください。
プロキシサポート
ハイブリッド データ セキュリティは、明示的な透過的な検査および非検査プロキシをサポートします。 これらのプロキシを展開に関連付けることができます。これにより、エンタープライズからクラウドに送信されるトラフィックをセキュリティ保護し、監視することができます。 証明書の管理のノードでプラットフォーム管理インターフェイスを使用して、ノードでプロキシを設定した後で、全体的な接続ステータスを確認することができます。
ハイブリッド データ セキュリティ ノードは、以下のプロキシ オプションをサポートしています。
プロキシなし—プロキシを統合するために、HDS ノード セットアップの信頼ストアとプロキシ設定を使用しない場合は、デフォルトになります。 証明書の更新は必要ありません。
透過型の検査なしのプロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていないため、検査なしのプロキシで動作するように変更を加える必要はありません。 証明書の更新は必要ありません。
透過トンネリングまたは検査プロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。 ノードでは、HTTP または HTTPS の設定変更は必要ありません。 ただし、ノードはプロキシを信頼するためにルート証明書を必要とします。 プロキシを検査することで、Web サイトにアクセスするか、どのタイプのコンテンツを使用するかを強制するポリシーを施行することができます。 このタイプのプロキシは、すべてのトラフィック (HTTPS さえも含む) を復号化します。
明示的プロキシ—明示的なプロキシを使用して、使用するプロキシ サーバーと認証スキームを指定します。 明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
プロキシ IP/FQDN—プロキシ マシンに到達するために使用できるアドレス。
プロキシ ポート-プロキシがプロキシ トラフィックをリスンするために使用するポート番号。
プロキシ プロトコル-プロキシ サーバーがサポートするものに応じて、次のいずれかのプロトコルを選択します。
HTTP—クライアントが送信するすべての要求を表示し、コントロールします。
HTTPS—サーバーにチャネルを提供します。 クライアントがサーバーの証明書を受け取り、検証します。
認証タイプ-次の認証タイプから選択します。
なし—追加の認証は必要ありません。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
ベーシック—HTTP ユーザー エージェントがリクエストを行う際にユーザー名とパスワードを指定するために使用されます。 Base64 エンコードを使用します。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ダイジェスト—機密情報を送信する前にアカウントを確認するために使用されます。 ネットワークを経由して送信する前に、ユーザー名およびパスワードにハッシュ機能を適用します。
プロキシ プロトコルとして HTTPS を選択した場合にのみ利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ハイブリッド データ セキュリティ ノードとプロキシの例
この図は、ハイブリッド データ セキュリティ、ネットワーク、およびプロキシ間の接続例を示しています。 透過的な検査および HTTPS 明示的な検査プロキシ オプションの場合、同じルート証明書がプロキシとハイブリッド データ セキュリティ ノードにインストールされている必要があります。
外部 DNS 解決ブロックモード (明示的プロキシ構成)
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 内部クライアントのための外部 DNS 解決が許可されていない、明示的なプロキシ構成の展開では、ノードが DNS サーバーに問い合わせができない場合、自動的に外部 DNS 解決ブロックモードに切り替わります。 このモードでは、ノード登録および他のプロキシ接続テストを続行することができます。
ハイブリッド データ セキュリティの要件
Cisco Webex ライセンス要件
ハイブリッド データ セキュリティを展開するには:
Cisco Webex Control Hub 用の Pro Pack が必要です (https://www.cisco.com/go/pro-pack を参照してください)。
Docker デスクトップの要件
HDS ノードをインストールする前に、セットアッププログラムを実行するには Docker Desktop が必要です。 Dockerは最近、ライセンスモデルを更新しました。 あなたの組織は、Docker デスクトップの有料サブスクリプションを必要としている場合があります。 詳細については、Docker ブログ投稿次を参照してください。 Docker は製品のサブスクリプションを更新し、延長しています」に置き換えることで、URL が有効かどうかを検証できます。
X.509 証明書の要件
証明書チェーンは、次の要件を満たしている必要があります。
要件 | の詳細 |
|---|---|
| デフォルトでは、https://wiki.mozilla.org/CA:IncludedCAsでMozillaリスト（WoSignとStartComを除く）のCAを信頼しています。 |
| CN に到達可能またはライブホストである必要はありません。 組織を反映する名前を使用することを推奨します。たとえば、 CN に * (ワイルドカード) を含めることはできません。 CN は、Webex アプリ クライアントへのハイブリッド データ セキュリティ ノードを確認するために使用されます。 クラスタ内のすべてのハイブリッド データ セキュリティ ノードが同じ証明書を使用します。 KMS は、x.509v3 SAN フィールドで定義されているドメインではなく、CN ドメインを使用して自身を識別します。 この証明書でノードを登録すると、CN ドメイン名の変更はサポートされません。 トライアル展開と本番展開の両方に適用できるドメインを選択します。 |
| KMS ソフトウェアは、他の組織の KMS への接続を検証するための SHA1 署名をサポートしていません。 |
| OpenSSL などのコンバータを使用して、証明書の形式を変更できます。 HDSセットアップツールを実行するときは、パスワードを入力する必要があります。 |
KMS ソフトウェアは、キーの使用や拡張キーの使用制限を強制しません。 一部の証明機関では、サーバ認証など、各証明書に拡張されたキーの使用制限を適用する必要があります。 サーバー認証やその他の設定を使用してもかまいません。
仮想ホストの要件
クラスタ内のハイブリッド データ セキュリティ ノードとして設定する仮想ホストには、次の要件があります。
同じセキュア データ センターでコロケーションされた少なくとも 2 つの別のホスト (3 つの推奨)
VMware ESXi 6.5 (またはそれ以降) がインストールされ、実行されています。
以前のバージョンの ESXi がある場合は、アップグレードする必要があります。
最低4vCPU、8GBメインメモリ、サーバーあたり30GBのローカルハードディスク容量
データベースサーバーの要件
| キーストレージ用の新しいデータベースを作成します。 デフォルトのデータベースを使用しないでください。 HDS アプリケーションをインストールすると、データベース スキーマが作成されます。 |
データベースサーバーには2つのオプションがあります。 各要件は以下のとおりです。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） | ||
|---|---|---|---|
|
| ||
最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） | 最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） |
HDS ソフトウェアは現在、データベース サーバとの通信用に次のドライバ バージョンをインストールしています。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） |
|---|---|
Postgres JDBCドライバ 42.2.5 | SQL Server JDBC ドライバ 4.6 このドライババージョンは、SQL Server Always On（Always On Failover Cluster InstancesおよびAlways On availability groups）をサポートしています。 |
Microsoft SQL Server に対する Windows 認証の追加要件
HDS ノードが Windows 認証を使用して Microsoft SQL Server のキーストア データベースにアクセスできるようにするには、環境内で次の設定が必要です。
HDS ノード、Active Directory インフラストラクチャ、MS SQL Server はすべて NTP と同期する必要があります。
HDS ノードに提供する Windows アカウントは、データベースへの読み取り/書き込みアクセス権を持っている必要があります。
HDS ノードに提供する DNS サーバは、キー配布センター (KDC) を解決できる必要があります。
Microsoft SQL Server に HDS データベース インスタンスをサービス プリンシパル名 (SPN) として Active Directory に登録できます。 詳細は、Kerberos Connections のサービス プリンシパル名を登録するを参照してください。
HDS セットアップツール、HDS ランチャー、およびローカル KMS はすべて、キーストアデータベースにアクセスするために Windows 認証を使用する必要があります。 Kerberos 認証でアクセスを要求するときに、ISO 設定の詳細を使用して SPN を構築します。
外部接続の要件
HDS アプリケーションに次の接続を許可するようにファイアウォールを設定します。
アプリケーション | プロトコル | ポート | アプリからの方向 | 移動先 |
|---|---|---|---|---|
ハイブリッド データ セキュリティ ノード | TCP | 443 | アウトバウンド HTTPS および WSS |
|
HDS 設定ツール | TCP | 443 | アウトバウンド HTTPS |
|
| ハイブリッド データ セキュリティ ノードは、ネットワークアクセス変換（NAT）またはファイアウォールの後ろで動作します。ただし、NAT またはファイアウォールが前の表のドメイン宛先への必要な発信接続を許可している場合に限ります。 ハイブリッド データ セキュリティ ノードにインバウンドする接続の場合、インターネットからポートを表示することはできません。 データセンター内では、管理目的で、クライアントは TCP ポート 443 および 22 のハイブリッド データ セキュリティ ノードにアクセスする必要があります。 |
Common Identity (CI) ホストの URL は地域固有です。 これらは現在の CI ホストです。
地域 | 共通 ID ホスト URL |
|---|---|
Americas (北米、中南米エリア) |
|
欧州連合 |
|
カナダ |
|
プロキシ サーバーの要件
お使いのハイブリッド データ セキュリティ ノードと統合できる次のプロキシ ソリューションを正式にサポートしています。
透過的プロキシ—Cisco Web Security Appliance (WSA)。
明示的プロキシ—Squid。
HTTPS トラフィックを検査する Squid プロキシは、websocket (wss:) 接続の確立に干渉することができます。 接続の確立に干渉することができます。 この問題を回避するには、「ハイブリッド データ セキュリティ用の Squid プロキシの設定」を参照してください。
明示的プロキシに対して次の認証タイプの組み合わせがサポートされています。
HTTP または HTTPS による認証がありません
HTTP または HTTPS による基本認証
HTTPS のみによるダイジェスト認証
透過的検査プロキシまたは HTTPS 明示的プロキシについては、プロキシのルート証明書のコピーが必要です。 このガイドに記載されている展開手順は、ハイブリッド データ セキュリティ ノードの信頼ストアにコピーをアップロードする方法を説明しています。
HDS ノードをホストするネットワークは、ポート 443 のアウトバウンド TCP トラフィックを強制的にプロキシ経由でルーティングするように設定されている必要があります。
Web トラフィックを検査するプロキシは、Web ソケット接続に干渉する場合があります。 この問題が発生した場合、トラフィックをバイパス（検査しない）して
wbx2.comおよびciscospark.com問題を解決します。
ハイブリッド データ セキュリティの前提条件を完了する
| 1 | Webex 組織が Pro Pack for Cisco Webex Control Hub に対して有効になっていることを確認し、完全な組織管理者権限を持つアカウントの資格情報を取得します。 このプロセスについては、Cisco パートナーまたはアカウント マネージャーにお問い合わせください。 | ||
| 2 | HDS 展開のドメイン名を選択します (たとえば、 | ||
| 3 | クラスタ内のハイブリッド データ セキュリティ ノードとして設定する同一の仮想ホストを準備します。 仮想ホスト要件の要件を満たす同じセキュアデータセンターにコロケーションされた少なくとも2つの個別のホスト（3つの推奨）が必要です。 | ||
| 4 | データベースサーバーの要件に従って、クラスタのキーデータストアとして機能するデータベースサーバーを準備します。 データベースサーバーは、仮想ホストと安全なデータセンターでコロケーションする必要があります。 | ||
| 5 | 迅速な災害復旧のために、別のデータセンターにバックアップ環境を設定します。 バックアップ環境は、VMとバックアップデータベースサーバの生成環境をミラーリングします。 たとえば、本番環境に HDS ノードを実行する 3 つの仮想マシンがある場合、バックアップ環境には 3 つの VM が必要です。 | ||
| 6 | syslog ホストをセットアップして、クラスタ内のノードからログを収集します。 ネットワーク アドレスと syslog ポートを収集します（デフォルトは UDP 514）。 | ||
| 7 | ハイブリッド データ セキュリティ ノード、データベース サーバ、および syslog ホスト用のセキュア バックアップ ポリシーを作成します。 少なくとも、回復不能なデータの損失を防ぐには、ハイブリッド データ セキュリティ ノード用に生成されたデータベースと構成 ISO ファイルをバックアップする必要があります。
Webex アプリ クライアントはキーをキャッシュするため、停止がすぐに目立つことはありませんが、時間の経過とともに明らかになります。 一時的な停止を防ぐことは不可能ですが、それらは回復可能です。 ただし、データベースまたは構成のISOファイルの完全な損失(利用可能なバックアップはありません)は、回復不能な顧客データになります。 ハイブリッド データ セキュリティ ノードのオペレータは、データベースと構成 ISO ファイルの頻繁なバックアップを維持し、壊滅的な障害が発生した場合にハイブリッド データ セキュリティ データ センターを再構築する準備をする必要があります。 | ||
| 8 | ファイアウォール構成により、外部接続要件で説明されているように、ハイブリッド データ セキュリティ ノードの接続が許可されていることを確認してください。 | ||
| 9 | サポートされているOS（Microsoft Windows 10 ProfessionalまたはEnterprise 64ビット、またはMac OSX Yosemite 10.10.3以降）を実行しているローカルマシンにDocker（https://www.docker.com）をインストールし、次の場所からアクセスできます。 http://127.0.0.1:8080. Docker インスタンスを使用して、すべてのハイブリッド データ セキュリティ ノードのローカル設定情報を構築する HDS セットアップ ツールをダウンロードして実行します。 組織には Docker Desktop ライセンスが必要になる場合があります。 詳細については、「Docker デスクトップの要件」を参照してください。 HDSセットアップツールをインストールして実行するには、ローカルマシンに外部接続要件に記載されている接続性が必要です。 | ||
| 10 | プロキシとハイブリッド データ セキュリティを統合する場合は、プロキシ サーバーの要件を満たしていることを確認してください。 | ||
| 11 | 組織でディレクトリ同期を使用している場合は、Active Directory でグループを作成します。
|
ハイブリッド データ セキュリティ展開タスク フロー
始める前に
| 1 |
後で使用するために、OVA ファイルをローカル マシンにダウンロードします。 | ||
| 2 |
HDS セットアップ ツールを使用して、ハイブリッド データ セキュリティ ノードの ISO 設定ファイルを作成します。 | ||
| 3 |
OVA ファイルから仮想マシンを作成し、ネットワーク設定などの初期設定を実行します。
| ||
| 4 |
VM コンソールにサインインし、サインイン資格情報を設定します。 OVA 展開時にノードを設定しなかった場合は、ノードのネットワーク設定を構成します。 | ||
| 5 |
HDS セットアップ ツールを使用して作成した ISO 設定ファイルから VM を設定します。 | ||
| 6 |
ネットワーク環境にプロキシ設定が必要な場合は、ノードに使用するプロキシのタイプを指定し、必要に応じてプロキシ証明書を信頼ストアに追加します。 | ||
| 7 |
ハイブリッド データ セキュリティ ノードとして Cisco Webex クラウドに仮想マシンを登録します。 | ||
| 8 |
クラスタの設定を完了します。 | ||
| 9 | トライアルを実行して本番環境に移動 (次の章) トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
インストールファイルのダウンロード
| 1 | https://admin.webex.comにサインインし、「サービス」をクリックします。 | ||||
| 2 | [ハイブリッド サービス] セクションで、ハイブリッド データ セキュリティ カードを見つけて、[セットアップ] をクリックします。 カードが無効になっているか、表示されない場合は、アカウントチームまたはパートナー組織に連絡してください。 アカウント番号を入力し、組織でハイブリッド データ セキュリティを有効にするように依頼します。 アカウント番号を見つけるには、組織名の横にある右上の歯車をクリックします。
| ||||
| 3 | ノードがまだセットアップされていないことを示すにはいいえを選択し、「次へ」をクリックします。 OVAファイルは自動的にダウンロードを開始します。 ファイルをマシン上の場所に保存します。
| ||||
| 4 | 必要に応じて、［導入ガイドを開く］をクリックして、このガイドの後半バージョンが利用可能かどうかを確認します。 |
HDS ホストの設定 ISO を作成する
ハイブリッド データ セキュリティのセットアップ プロセスは、ISO ファイルを作成します。 その後、ISO を使用してハイブリッド データ セキュリティ ホストを設定します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、手順 5 で Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT生成する構成 ISO ファイルには、PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーが含まれています。 次のように、設定を変更するたびに、このファイルの最新のコピーが必要です。
データベースの資格情報
証明書の更新
承認ポリシーの変更
データベース接続を暗号化する場合は、TLS 用の PostgreSQL または SQL Server 展開をセットアップします。
| 1 | マシンのコマンド ラインで、お使い環境に適切なコマンドを入力します。 一般環境: FedRAMP 環境の場合:
| ||||||||||||
| 2 | Docker 画像レジストリにサインインするには、以下を入力します。 | ||||||||||||
| 3 | パスワードのプロンプトに対して、このハッシュを入力します。 | ||||||||||||
| 4 | お使い環境に合った最新の安定した画像をダウンロードします。 一般環境: FedRAMP 環境の場合: | ||||||||||||
| 5 | プルが完了したら、お使いの環境に適切なコマンドを入力します。
コンテナが実行中の時。「ポート 8080 で Express サーバー リスニング中」と表示されます。 | ||||||||||||
| 6 |
Web ブラウザを使用して localhost に移動し、 このツールは、ユーザー名の最初のエントリを使用して、そのアカウントの適切な環境を設定します。 このツールには、標準のサインインプロンプトが表示されます。 | ||||||||||||
| 7 | プロンプトが表示されたら、Control Hub の顧客管理者のサインイン資格情報を入力し、[ログイン] をクリックして、ハイブリッド データ セキュリティに必要なサービスへのアクセスを許可します。 | ||||||||||||
| 8 | [セットアップツールの概要] ページで、[はじめに] をクリックします。 | ||||||||||||
| 9 | ［ISOインポート］ページには、次のオプションがあります。
| ||||||||||||
| 10 | X.509 証明書がX.509 証明書要件の要件を満たしていることを確認してください。
| ||||||||||||
| 11 | HDS のデータベース アドレスとアカウントを入力して、キー データストアにアクセスします。 | ||||||||||||
| 12 | TLS データベース接続モードを選択します。
ルート証明書をアップロードし（必要に応じて）、［続行］をクリックすると、HDS Setup Tool がデータベース サーバへの TLS 接続をテストします。 また、必要に応じて、証明書の署名者とホスト名も検証されます。 テストが失敗した場合、問題を説明するエラー メッセージがツールによって表示されます。 エラーを無視してセットアップを続行するかどうかを選択できます。 （接続性の違いにより、HDS Setup Tool マシンが正常にテストできない場合でも、HDS ノードは TLS 接続を確立できる場合があります）。 | ||||||||||||
| 13 | [システムログ（System Logs）] ページで、Syslogd サーバを設定します。 | ||||||||||||
| 14 | （オプション）一部のデータベース接続パラメータのデフォルト値は、［詳細設定］で変更できます。 通常、このパラメータは、変更する可能性のある唯一のパラメータです。 | ||||||||||||
| 15 | [サービスアカウントのパスワードをリセット] 画面の [続行] をクリックします。 サービスアカウントのパスワードは9ヶ月の寿命を持っています。 パスワードの有効期限が近づいている場合、または以前の ISO ファイルを無効にするためにパスワードをリセットする場合は、この画面を使用します。 | ||||||||||||
| 16 | [ISOファイルのダウンロード] をクリックします。 見つけやすい場所にファイルを保存します。 | ||||||||||||
| 17 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||||||||||||
| 18 | セットアップ ツールをシャットダウンするために次のように入力します。 |
次に行うこと
設定 ISO ファイルをバックアップします。 リカバリのためにより多くのノードを作成したり、設定を変更したりする必要があります。 ISOファイルのコピーをすべて失うと、マスターキーも失われます。 PostgreSQL または Microsoft SQL Server データベースからキーを回復することはできません。
| 私たちはこのキーのコピーを持っていないし、あなたがそれを失ったら助けることができません。 |
HDS ホスト OVA のインストール
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインします。 | ||||||
| 2 | ファイル > OVF テンプレートを展開を選択します。 | ||||||
| 3 | ウィザードで、先ほどダウンロードしたOVAファイルの場所を指定し、 をクリックします。 次へだ | ||||||
| 4 | の 名前とフォルダを選択ページ、を入力します 仮想マシン名ノード（たとえば、「HDS_Node_1」）で、仮想マシンノードの展開が可能な場所を選択し、次へだ | ||||||
| 5 | の 計算リソースを選択ページで、宛先計算リソースを選択し、をクリックします。 次へだ 検証チェックが実行されます。 完了すると、テンプレートの詳細が表示されます。 | ||||||
| 6 | テンプレートの詳細を確認し、［次へ］をクリックします。 | ||||||
| 7 | のリソース設定を選択するよう求められた場合 設定ページ、をクリックします。 4 CPU をクリックし、 をクリックします。 次へだ | ||||||
| 8 | の ストレージを選択ページ、をクリックします。 次へは、デフォルトのディスク形式とVMストレージポリシーを受け入れます。 | ||||||
| 9 | の ネットワークを選択ページで、エントリのリストからネットワークオプションを選択し、仮想マシンへの接続を提供します。 | ||||||
| 10 | [テンプレートのカスタマイズ] ページで、次のネットワーク設定を構成します。
必要に応じて、ネットワーク設定の構成をスキップし、[ハイブリッド データ セキュリティ VM のセットアップ] の手順に従って、ノード コンソールから設定を構成できます。
| ||||||
| 11 | ノードVMを右クリックし、だ。 ハイブリッド データ セキュリティ ソフトウェアは、VM ホストにゲストとしてインストールされます。 これで、コンソールにサインインしてノードを設定する準備ができました。 トラブルシューティングのヒント ノード コンテナーが出てくるまでに、数分間の遅延がある場合があります。 初回起動の間、ブリッジ ファイアウォール メッセージが、コンソールに表示され、この間はサイン インできません。 |
ハイブリッド データ セキュリティ VM のセットアップ
この手順を使用して、ハイブリッド データ セキュリティ ノード VM コンソールに初めてサインインし、サインイン クレデンシャルを設定します。 OVA 展開時に設定しなかった場合は、コンソールを使用してノードのネットワーク設定を構成することもできます。
| 1 | VMware vSphere クライアントで、ハイブリッド データ セキュリティ ノード VM を選択し、[コンソール] タブを選択します。 VM が起動し、ログインプロンプトが表示されます。 ログインプロンプトが表示されない場合は、 入力を押してください。
|
| 2 | 次のデフォルトのログインとパスワードを使用してサインインし、資格情報を変更します。 初めて仮想マシンにサインインするため、管理者パスワードを変更する必要があります。 |
| 3 | ［HDS ホスト OVA のインストール］でネットワーク設定をすでに設定している場合は、残りの手順をスキップします。 それ以外の場合は、メインメニューで［設定の編集］オプションを選択します。 |
| 4 | IP アドレス、マスク、ゲートウェイ、DNS 情報を含む静的設定をセットアップします。 ノードには内部 IP アドレスと DNS 名が必要です。 DHCP はサポートされていません。 |
| 5 | (オプション) ネットワーク ポリシーと一致する必要がある場合は、ホスト名、ドメイン、または NTP サーバを変更します。 X.509 証明書を取得するために使用したドメインと一致するようにドメインを設定する必要はありません。 |
| 6 | ネットワーク設定を保存し、仮想マシンを再起動して、変更を有効にします。 |
HDS 設定 ISO のアップロードとマウント
始める前に
ISOファイルはマスターキーを保持しているため、Hybrid Data Security VMおよび変更が必要な管理者によるアクセスのために、「知る必要性」に基づいてのみ公開する必要があります。 これらの管理者だけがデータストアにアクセスできることを確認してください。
| 1 | コンピュータから ISO ファイルをアップロードします。 |
| 2 | ISO ファイルをマウントします。 |
次に行うこと
IT ポリシーが必要な場合は、すべてのノードが設定変更をピックアップした後、オプションで ISO ファイルのマウントを解除できます。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。
プロキシ統合のために HDS ノードを設定する
ネットワーク環境でプロキシが必要な場合は、この手順を使用して、ハイブリッド データ セキュリティと統合するプロキシのタイプを指定します。 透過型のプロキシまたは HTTPS を明示的なプロキシを選択した場合、ノードのインターフェイスを使用してルート証明書をアップロードしてインストールすることができます。 インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。
始める前に
サポートされているプロキシオプションの概要については、プロキシサポートを参照してください。
| 1 | HDS ノードのセットアップ URL を入力 |
| 2 | [信頼ストアとロキシ] に移動して、次のオプションを選択します。
透過型検査プロキシ、基本認証を持つ HTTP 明示プロキシ、または HTTPS 明示プロキシについては、次のステップに従ってください。 |
| 3 | [ルート証明書またはエンティティ終了証明書のアップロード] をクリックし、プロキシのルート証明書を選択するために移動します。 証明書はアップロードされていますが、まだインストールされていません。証明書をインストールするにはノードを再起動する必要があります。 証明書発行者名の山形矢印をクリックして詳細を確認するか、間違っている場合は [削除] をクリックして、ファイルを再度アップロードしてください。 |
| 4 | [プロキシ接続を確認する] をクリックして、ノードとプロキシ間のネットワーク接続性をテストします。 接続テストが失敗した場合は、エラーメッセージが表示され、問題を解決するための理由と方法が示されます。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しています。 この状況は、多くの明示的なプロキシ構成で想定されています。 セットアップを続行すると、ノードは外部 DNS 解決ブロックモードで機能します。 これがエラーと思われる場合は、次の手順を実行し、「ブロックされた外部 DNS 解決モードをオフにする」を参照してください。 |
| 5 | 接続テストが成功した後、明示的なプロキシについては https のみに設定し、このノードからの すべてのポートの 443/444 https 要求を明示的プロキシを通してルーティングするように切り替えます。 この設定を有効にするには 15 秒かかります。 |
| 6 | [すべての証明書を信頼ストアにインストールする(HTTPS 明示プロキシまたは透過型のプロキシで表示される)] または [再起動] をクリックして、プロンプトを読み、準備が完了したら [インストール] をクリックします。 ノードが数分以内に再起動されます。 |
| 7 | ノードが再起動したら、必要に応じて再度サインインして、[概要] ページを開き、接続チェックを確認してすべて緑色のステータスになっていることを確認します。 プロキシ接続の確認は webex.com のサブドメインのみをテストします。 接続の問題がある場合、インストール手順に記載されているクラウド ドメインの一部がプロキシでブロックされているという問題がよく見られます。 |
クラスタ内の最初のノードを登録する
最初のノードを登録するとき、クラスターをノードが指定されている場所に作成します。 クラスタには、冗長性を提供するために展開された 1 つ以上のノードが含まれています。
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | https://admin.webex.comにサインインします。 |
| 2 | スクリーンの左側にあるメニューからサービスを選択します。 |
| 3 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[セットアップ] をクリックします。 [ハイブリッド データ セキュリティ ノードの登録] ページが表示されます。
|
| 4 | ノードを設定し、登録する準備ができていることを示すには、「はい」を選択し、「次へ」をクリックします。 |
| 5 | 最初のフィールドに、ハイブリッド データ セキュリティ ノードを割り当てるクラスタの名前を入力します。 クラスタのノードが地理的にどこに配置されているかに基づきクラスタに名前を付けることをお薦めします。 例: 「サンフランシスコ」「ニューヨーク」「ダラス」 |
| 6 | 2 番目のフィールドに、ノードの内部 IP アドレスまたは完全修飾ドメイン名（FQDN）を入力し、[次へ] をクリックします。 この IP アドレスまたは FQDN は、ハイブリッド データ セキュリティ VM のセットアップ で使用した IP アドレスまたはホスト名とドメインと一致する必要があります。 ノードを Webex に登録できることを示すメッセージが表示されます。
|
| 7 | [ノードに進む] をクリックします。 |
| 8 | 警告メッセージの [続ける] をクリックします。 しばらくすると、Webex サービスのノード接続テストにリダイレクトされます。 すべてのテストが成功すると、[ハイブリッド データ セキュリティ ノードへのアクセスを許可（Allow Access to Hybrid Data Security Node）] ページが表示されます。 ここで、ノードにアクセスする権限を Webex 組織に付与することを確認します。
|
| 9 | [ハイブリッド データ セキュリティ ノードへのアクセスを許可] チェックボックスをオンにして、[続行] をクリックします。 アカウントが検証され、「登録完了」メッセージは、ノードが Webex クラウドに登録されたことを示します。
|
| 10 | リンクをクリックするか、タブを閉じて、[Control Hub ハイブリッド データ セキュリティ] ページに戻ります。 [ハイブリッド データ セキュリティ] ページで、登録したノードを含む新しいクラスタが表示されます。 ノードはクラウドから最新のソフトウェアを自動的にダウンロードします。
|
より多くのノードを作成して登録する
| 現時点では、「ハイブリッド データ セキュリティの前提条件を完了」で作成したバックアップ VM は、ディザスタ リカバリーの場合にのみ使用されるスタンバイ ホストであり、それまではシステムに登録されていません。 詳細については、「スタンバイデータセンターを使用した災害復旧」を参照してください。 |
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | OVA から新しい仮想マシンを作成し、「HDS ホスト OVA のインストール」の手順を繰り返します。 |
| 2 | 新しい仮想マシンで初期設定を行い、「ハイブリッド データ セキュリティ 仮想マシンのセットアップ」の手順を繰り返します。 |
| 3 | 新しい VM で、「Upload and Mount the HDS Configuration ISO」の手順を繰り返します。 |
| 4 | 展開のプロキシを設定する場合は、新しいノードに必要に応じ「プロキシ統合の HDS ノードを設定する」の手順を繰り返します。 |
| 5 | ノードを登録します。 ノードが登録されています。 トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成することに注意してください。
|
次に行うこと
プロダクション タスク フローへの試行
ハイブリッド データ セキュリティ クラスタをセットアップした後、パイロットを起動し、ユーザーを追加し、本番環境への移行に備えて展開のテストと検証に使用を開始できます。
| 1 | 必要に応じて、 組織でユーザーのディレクトリ同期を使用している場合は、 |
| 2 |
トライアルを開始します。 このタスクを実行するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
| 3 |
重要な要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
| 4 |
ステータスを確認し、アラームのメール通知を設定します。 |
| 5 | |
| 6 | 以下のいずれかの操作を行い、治験の段階を完了します。 |
トライアルの有効化
始める前に
組織でユーザーのディレクトリ同期を使用している場合は、 HdsTrialGroup 組織のトライアルを開始する前に、クラウドに同期するためのグループ オブジェクト。 手順については、 Cisco Directory Connector 展開ガイドを参照してください。
| 1 | https://admin.webex.comにサインインし、「サービス」を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[トライアルの開始] をクリックします。 サービス ステータスがトライアル モードに変わります。
|
| 4 | [ユーザーの追加] をクリックし、暗号化およびインデックスサービスのためにハイブリッド データ セキュリティ ノードを使用してパイロットする 1 人以上のユーザーのメール アドレスを入力します。 (組織がディレクトリ同期を使用している場合は、Active Directory を使用してトライアル グループを管理します。 |
ハイブリッド データ セキュリティ展開をテストする
始める前に
ハイブリッド データ セキュリティの展開をセットアップします。
トライアルを有効にし、複数のトライアル ユーザーを追加します。
キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認するために、syslog にアクセスできることを確認します。
| 1 | 特定のスペースのキーは、スペースの作成者によって設定されます。 パイロットユーザーの 1 人として Webex アプリにサインインし、スペースを作成し、少なくとも 1 人のパイロットユーザーと 1 人の非パイロットユーザーを招待します。
| ||
| 2 | 新しいスペースにメッセージを送信します。 | ||
| 3 | syslog 出力をチェックして、キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
ハイブリッド データ セキュリティの健全性を監視する
| 1 | Control Hubで、画面左側のメニューからサービスを選択します。 |
| 2 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[設定] をクリックします。 [ハイブリッド データ セキュリティ設定] ページが表示されます。
|
| 3 | [メール通知] セクションで、カンマで区切られた 1 つ以上のメールアドレスを入力し、[Enter] を押します。 |
トライアルからユーザーを追加または削除する
トライアルからユーザーを削除すると、ユーザーのクライアントは KMS ではなく、クラウド KMS からキーとキーの作成を要求します。 クライアントが KMS に保存されているキーを必要とする場合、クラウド KMS はユーザーに代わってキーを取得します。
組織がディレクトリ同期を使用している場合、Active Directory (この手順の代わりに) を使用してトライアル グループを管理します。 HdsTrialGroup; Control Hub でグループメンバーを表示できますが、追加または削除することはできません。
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] 領域の [トライアルモード（Trial Mode）] セクションで、[ユーザーの追加（Add Users）] をクリックするか、[表示と編集] をクリックしてユーザーをトライアルから削除します。 |
| 4 | 追加する 1 人以上のユーザーのメールアドレスを入力するか、ユーザー ID の X をクリックしてユーザーをトライアルから削除します。 その後、[保存] をクリックします。 |
トライアルからプロダクションへの移行
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[本番環境に移動] をクリックします。 |
| 4 | すべてのユーザーを本番環境に移行することを確認します。 |
本番環境に移行せずにトライアルを終了する
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | 「Deactivate（無効化）」セクションで「Deactivate（無効化）」をクリックします。 |
| 4 | サービスを無効にしてトライアルを終了することを確認します。 |
HDS 展開の管理
ここで説明するタスクを使用して、ハイブリッド データ セキュリティの展開を管理します。
クラスタアップグレードスケジュールの設定
アップグレードスケジュールを設定するには:
| 1 | Control Hub にサインインします。 |
| 2 | [概要] ページの [ハイブリッド サービス] で、[ハイブリッド データ セキュリティ] を選択します。 |
| 3 | [ハイブリッド データ セキュリティ リソース] ページで、クラスタを選択します。 |
| 4 | 右側の [概要] パネルの [クラスタ設定] で、クラスタ名を選択します。 |
| 5 | 設定ページのアップグレードの下で、アップグレードのスケジュール設定を希望する時間およびタイムゾーンを選択します。 メモ: タイムゾーンの下に、次に可能なアップグレードの日時が表示されます。 必要に応じて、[延期] をクリックすることでアップグレードを翌日に延期することもできます。 |
ノードの設定を変更する
有効期限が切れる、または他の理由による、x.509 証明書の変更。
証明書の CN ドメイン名の変更はサポートされていません。 ドメインは、クラスターを登録するために使用される元のドメインと一致する必要があります。
データベース設定を更新して、PostgreSQL または Microsoft SQL Server データベースのレプリカを変更します。
PostgreSQL から Microsoft SQL Server への、またはその逆へのデータ移行はサポートしていません。 データベース環境を切り替えるには、ハイブリッド データ セキュリティの新しい展開を開始します。
新しい構成を作成して新しいデータセンターの準備をする。
また、セキュリティ上の理由により、ハイブリッド データ セキュリティは 9 か月間使用可能なサービス アカウント パスワードを使用します。 HDS セットアップ ツールがこれらのパスワードを生成した後で、ISO 構成ファイルの各 HDS ノードに展開します。 組織のパスワードの有効期限切れが近い場合、Webex チームから「パスワード期限切れ通知」を受け取り、マシン アカウントのパスワードのリセットを求められます。 (メールにはテキスト「マシン アカウント API を使用してパスワードを更新します」を含みます。) パスワードの有効期限が切れるまで時間が十分にある場合、ツールには次の 2 つのオプションがあります:
ソフト リセット— 古いパスワードと新しいパスワードは最大 10 日間有効です。 この期間を使用して、ノードの ISO ファイルを段階的に置き換えることができます。
ハード リセット—古いパスワードは即時に機能を停止します。
パスワードをリセットせずに期限切れになる場合、HDS サービスに影響を与える可能性があります。すぐにハード リセットし、すべてのノードの ISO ファイルを置換する必要があります。
この手順を使用して、新しい構成 ISO ファイルを生成し、クラスターに適用します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、1.eで Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT新しい構成を生成するには、現在の構成 ISO ファイルのコピーが必要です。 ISO には PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーを含むです。 データベースの証明書、証明書の更新、認証方針への変更を含む、構成の変更を行った場合は ISO が必要です。
| 1 | ローカル マシンで Docker を使用し、HDS セットアップ ツールを実行します。
| ||||||
| 2 | を実行している HDS ノードが 1 個のみある場合、新しいノード VM を作成し、新しいハイブリッド データ セキュリティ ノード VM を作成し、新しい構成 ISO ファイルを使用してそれを登録します。 手順の詳細については、「追加のノードを作成して登録する」を参照してください。 | ||||||
| 3 | 古い構成ファイルを実行している既存の HDS ノードの場合、ISO ファイルをマウントします。 各ノードで以下の手順を実行し、次のノードをオフにする前に、各ノードを更新します。 | ||||||
| 4 | ステップ 3 を繰り返し、古い構成ファイルを実行している残りの各ノードで構成を置き換えます。 |
外部 DNS 解決ブロックモードをオフにする
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 ノードの DNS サーバーがパブリック DNS 名を解決できない場合、ノードは自動的に外部 DNS 解決ブロックモードに進みます。
ノードが内部 DNS サーバーを通してパブリック DNS 名を解決できる場合、各ノードでプロキシ接続テストを再実行することで、このモードをオフにすることができます。
始める前に
| 1 | Web ブラウザで、ハイブリッド データ セキュリティ ノード インターフェイス (IP アドレス/セットアップ、たとえば、ノードに設定した管理者資格情報をhttps://192.0.2.0/setup), 入力し、[サインイン] をクリックします。 |
| 2 | [概要] (デフォルトページ) に移動します。 有効になっている場合、 [外部 DNS 解決ブロック] は [はい] に設定されています。 |
| 3 | [信頼ストアとプロキシ] ページに移動します。 |
| 4 | [プロキシ接続を確認する] をクリックします。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しており、このモードに留まっています。 そうでない場合には、ノードを再起動して[概要] ページに戻ると、[外部 DNS 解決ブロック] は [いいえ] に設定されるはずです。 |
次に行うこと
ノードの削除
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインし、仮想マシンの電源を切ります。 |
| 2 | ノードを削除します。 |
| 3 | vSphere クライアントで、仮想マシンを削除します (左側のナビゲーションペインで、仮想マシンを右クリックし、[削除] をクリックします)。 仮想マシンを削除しない場合は、設定の ISO ファイルのマウントを解除することを忘れないでください。 ISO ファイルがないと、VM を使用してセキュリティ データにアクセスすることはできません。 |
スタンバイデータセンターを使用したディザスタ リカバリ
ハイブリッド データ セキュリティ クラスタが提供する最も重要なサービスは、Webex クラウドに保存されているメッセージやその他のコンテンツを暗号化するために使用されるキーの作成と保存です。 ハイブリッド データ セキュリティに割り当てられている組織内の各ユーザーについて、新しいキー作成要求がクラスタにルーティングされます。 また、クラスタは、作成したキーを、カンバセーションスペースのメンバーなど、取得を許可されたユーザーに返却する責任があります。
クラスタは、これらのキーを提供するという重要な機能を実行するため、クラスタが実行され、適切なバックアップが維持されることが不可欠です。 ハイブリッド データ セキュリティ データベースまたはスキーマに使用されている構成 ISO が失われると、顧客のコンテンツが回復不能に失われます。 このような損失を防ぐには、以下の慣行が必須です。
災害により、プライマリデータセンターの HDS 展開が使用できなくなる場合は、次の手順に従って、スタンバイデータセンターに手動でフェールオーバーします。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。 | ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加するか、
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
（オプション）HDS設定後にISOをアンマウントする
標準の HDS 構成は、ISO マウントで実行されます。 しかし、一部の顧客は、ISOファイルを継続的にマウントしたままにしないことを好みます。 すべての HDS ノードが新しい設定をピックアップした後、ISO ファイルのマウントを解除できます。
ISO ファイルを使用して、設定を変更します。 新しい ISO を作成するか、セットアップツールを使用して ISO を更新する場合は、更新された ISO をすべての HDS ノードにマウントする必要があります。 すべてのノードが設定変更をピックアップしたら、この手順で再び ISO のマウントを解除できます。
始める前に
すべての HDS ノードをバージョン 2021.01.22.4720 以降にアップグレードします。
| 1 | 1 つの HDS ノードをシャットダウンします。 |
| 2 | vCenter Server Appliance で、HDS ノードを選択します。 |
| 3 | を選択し、［データストアISOファイル］のチェックを外します。 |
| 4 | HDS ノードの電源を入れ、少なくとも 20 分間アラームがないことを確認します。 |
| 5 | HDS ノードごとに順番に繰り返します。 |
アラートとトラブルシューティングの表示
ハイブリッド データ セキュリティの展開は、クラスタ内のすべてのノードに到達できない場合、またはクラスタが非常にゆっくりと動作しているため、要求がタイムアウトした場合、利用できないと見なされます。 ユーザーがハイブリッド データ セキュリティ クラスタに到達できない場合、次の症状が発生します。
新しいスペースを作成できません (新しいキーを作成できません)
メッセージとスペース タイトルの復号に失敗する:
新規ユーザーがスペースに追加されました (キーを取得できません)
新しいクライアントを使用するスペース内の既存のユーザー (キーを取得できません)
スペース内の既存のユーザーは、クライアントが暗号化キーのキャッシュを持っている限り、正常に動作し続けます。
ハイブリッド データ セキュリティ クラスタを適切に監視し、サービスの中断を避けるために速やかにアラートに対処することが重要です。
警告
ハイブリッド データ セキュリティのセットアップに問題がある場合、Control Hub は組織管理者にアラートを表示し、設定されたメール アドレスにメールを送信します。 アラートは、多くの一般的なシナリオをカバーしています。
警告 | アクション |
|---|---|
ローカル データべースへのアクセスに失敗しました。 |
データベース エラーまたはローカル ネットワークの問題を確認します。 |
ローカルデータベース接続に失敗しました。 |
データベース サーバが使用可能であり、ノード設定で適切なサービス アカウント クレデンシャルが使用されていることを確認します。 |
クラウド サービスへのアクセスに失敗しました。 |
外部接続要件で指定されているように、ノードが Webex サーバーにアクセスできることを確認します。 |
クラウドサービス登録の更新。 |
クラウドサービスへの登録が削除されました。 登録の更新が進行中です。 |
クラウドサービスの登録が削除されました。 |
クラウドサービスへの登録が終了しました。 サービスが停止しています。 |
サービスはまだアクティベートされていません。 |
トライアルを有効にするか、トライアルを本番環境に移行します。 |
設定されたドメインがサーバー証明書と一致しません。 |
サーバー証明書が設定されたサービス アクティベーション ドメインと一致していることを確認します。 最も可能性の高い原因は、証明書 CN が最近変更され、初期設定で使用された CN とは異なるようになったためです。 |
クラウド サービスの認証に失敗しました。 |
サービスアカウントの資格情報の正確さと有効期限の可否を確認します。 |
ローカル キーストア ファイルを開くことができませんでした。 |
ローカル キーストア ファイルの整合性とパスワードの正確性を確認します。 |
ローカルサーバー証明書が無効です。 |
サーバ証明書の有効期限を確認し、信頼できる認証局によって発行されていることを確認します。 |
メトリクスを投稿できません。 |
外部クラウド サービスへのローカル ネットワーク アクセスを確認します。 |
/media/configdrive/hds ディレクトリが存在しません。 |
仮想ホストの ISO マウント設定を確認します。 ISO ファイルが存在すること、再起動時にマウントするように設定されていること、正常にマウントされていることを確認します。 |
ハイブリッド データ セキュリティのトラブルシューティング
| 1 | アラートについては Control Hub を確認し、見つかった項目を修正します。 |
| 2 | ハイブリッド データ セキュリティ展開からのアクティビティの syslog サーバー出力を確認します。 |
| 3 | Cisco サポート にお問い合わせください。 |
ハイブリッド データ セキュリティの既知の問題
ハイブリッド データ セキュリティ クラスタをシャットダウンする (Control Hub で削除するか、すべてのノードをシャットダウンする)、構成 ISO ファイルを失う、またはキーストア データベースへのアクセスを失う場合、Webex アプリのユーザーは、KMS のキーを使用して作成された [ユーザー] リストの下のスペースを使用できなくなります。 これは、トライアル展開と本番展開の両方に適用されます。 現在、この問題の回避策や修正はありません。HDS サービスがアクティブなユーザーアカウントを処理したら、HDS サービスをシャットダウンしないようにしてください。
KMS への既存の ECDH 接続を持つクライアントは、その接続を一定期間 (おそらく 1 時間) 維持します。 ユーザーがハイブリッド データ セキュリティ トライアルのメンバーになると、ユーザーのクライアントは、タイムアウトするまで既存の ECDH 接続を引き続き使用します。 代わりに、ユーザーは Webex アプリ アプリにサインアウトして再度ログインして、アプリが暗号化キーの連絡先を更新できます。
同じ動作は、組織のトライアルを本番環境に移行する場合にも発生します。 以前のデータ セキュリティ サービスへの既存の ECDH 接続を持つすべての非トライアル ユーザーは、ECDH 接続が再ネゴシエートされるまで (タイムアウトまたはサインアウトして戻る)、これらのサービスを使用し続けます。
OpenSSL を使用して PKCS12 ファイルを生成する
始める前に
OpenSSLは、HDSセットアップツールでロードするための適切な形式でPKCS12ファイルを作成するために使用できるツールの1つです。 これを行うには他の方法があり、私たちは別の方法よりも支持または促進しません。
OpenSSLを使用することを選択した場合は、X.509証明書要件を満たすファイルを作成するのに役立つガイドラインとして、この手順を提供しています。 X.509 証明書の要件は... 続行する前にこれらの要件を理解してください。
サポートされている環境で OpenSSL をインストールします。 ソフトウェアとマニュアルについてはhttps://www.openssl.orgを参照してください。
秘密鍵を作成します。
認証局（CA）からサーバ証明書を受け取ったら、この手順を開始します。
| 1 | CA からサーバー証明書を受け取ったら、次のように保存します。 |
| 2 | 証明書をテキストとして表示し、詳細を確認します。
|
| 3 | テキスト エディタを使用して、証明書バンドル ファイルを作成します。
|
| 4 | 親しみやすい名前で .p12 ファイルを作成する
|
| 5 | サーバ証明書の詳細を確認してください。 |
次に行うこと
「 ハイブリッド データ セキュリティの前提条件を満たす」に戻ります。 次を使用します: hdsnode.p12［HDSホストの設定ISOの作成］で設定したファイルとパスワード。
| これらのファイルを再使用して、元の証明書の有効期限が切れたときに新しい証明書を要求できます。 |
HDS ノードとクラウド間のトラフィック
アウトバウンドメトリック収集トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドに特定のメトリックを送信します。 これには、ヒープ最大、使用されるヒープ、CPU 負荷、およびスレッド数のシステムメトリクス、同期スレッドと非同期スレッドのメトリクス、暗号化接続のしきい値、遅延、またはリクエストキュー長を含むアラートのメトリクス、データストアのメトリクス、および暗号化接続メトリックが含まれます。 ノードは、（リクエストとは別に）帯域外チャネル上で暗号化されたキー素材を送信します。
着信トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドから次のタイプのインバウンド トラフィックを受信します。
暗号化サービスによってルーティングされるクライアントからの暗号化要求
ノード ソフトウェアへのアップグレード
ハイブリッド データ セキュリティの Squid プロキシを設定する
Websocket は Squid プロキシを通じて接続できません
Mサイズは箱入りとなります Sサイズは箱なしでのラッピングとなります ギフトボックス・ラッピングについて ＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿ wss:) ハイブリッド データ セキュリティが必要とする接続。 これらのセクションでは、無視するためにさまざまなバージョンの Squid を設定する方法について説明します。 wss: これは、サービスの適切な運用のためのトラフィックです。
Squid 4 および5
次を追加します: on_unsupported_protocol 指示する squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
次のルールが追加され、ハイブリッド データ セキュリティが正常にテストされました。 squid.conf です。 これらのルールは、機能を開発し、Webex クラウドを更新する際に変更されることがあります。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新規および変更された情報
日付 | 変更履歴 | ||
|---|---|---|---|
2023年10月20日。 |
| ||
2023年8月7日。 |
| ||
2023年5月23日。 |
| ||
2022 年 12 月 06 日 |
| ||
2022年11月23日。 |
| ||
2021 年 10 月 13 日 | HDS ノードをインストールする前に、Docker Desktop でセットアッププログラムを実行する必要があります。 Docker デスクトップの要件を参照してください。 | ||
2017 年 6 月 24 日 | 秘密鍵ファイルと CSR を再使用して別の証明書を要求できることに注意してください。 詳細については、「OpenSSL を使用して PKCS12 ファイルを生成する」を参照してください。 | ||
| 2021 年 4 月 30 日 | ローカル ハード ディスク スペースの VM 要件を 30 GB に変更しました。 詳細については、「仮想ホスト要件」を参照してください。 | ||
2021 年 2 月 24 日 | HDS セットアップ ツールは、プロキシの後ろで実行できるようになりました。 詳細については、「HDS ホストの設定 ISO を作成する」を参照してください。 | ||
2021 年 2 月 2 日 | HDS は、マウントされた ISO ファイルなしで実行できるようになりました。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。 | ||
2021年1月11日。 | HDSセットアップツールとプロキシに関する情報を追加し、HDSホストの設定ISOを作成しました。 | ||
2020/10/13 | インストールファイルのダウンロードを更新しました。 | ||
2020/10/08 | 更新HDSホスト用の構成ISOの作成およびFedRAMP環境のコマンドによるノード構成の変更。 | ||
2020 年 8 月 14 日 | サインイン プロセスの変更に伴い、「HDS ホストの構成 ISO を作成する」および「ノード構成を変更する」が更新されました。 | ||
2020年8月5日水曜日 | ログ メッセージの変更に関するハイブリッド データ セキュリティ展開のテストを更新しました。 ホストの最大数を削除する仮想ホスト要件を更新しました。 | ||
2020 年 6 月 16 日 | Control Hub UI の変更に関するノードの削除を更新しました。 | ||
2020 年 6 月 4 日 | 設定する詳細設定の変更に関するHDS ホストの設定 ISO の作成を更新しました。 | ||
2020 年 5 月 29 日 | SQL Serverデータベース、UI変更、およびその他の説明でTLSを使用できることを示すために、HDSホストの構成ISOを作成するを更新しました。 | ||
2020 年 5 月 5 日 | ESXi 6.5 の新しい要件を表示するために、仮想ホスト要件を更新しました。 | ||
2020 年 4 月 21 日 | 新しい Americas CI ホストとの外部接続要件が更新されました。 | ||
2020 年 4 月 1 日 | 地域 CI ホストに関する情報で外部接続要件が更新されました。 | ||
| 2020年2月20日水曜日 | HDSセットアップツールの新しいオプションの詳細設定画面に関する情報を記載したHDSホストの設定ISOを作成を更新しました。 | ||
| 2020年2月4日。 | プロキシサーバーの要件を更新しました。 | ||
| 2019年12月16日 | ブロックされた外部 DNS 解決モードがプロキシサーバーの要件で動作する要件を明確化しました。 | ||
| 2019 年 11 月 19 日 | 次のセクションで、ブロックされた外部 DNS 解決モードに関する情報を追加しました。 | ||
2019 年 11 月 8 日 | OVA を後で展開するのではなく、ノードのネットワーク設定を構成できるようになりました。 以下のセクションを適宜更新しました。
| ||
2019年9月6日水曜日 | データベースサーバーの要件にSQL Server Standardを追加しました。 | ||
| 2019 年 8 月 29 日 | 適切な動作のためにWebSocketトラフィックを無視するようにSquidプロキシを設定する方法についてのガイダンスが追加されました。Configure Squid Proxies for Hybrid Data Securityの付録が追加されました。 | ||
| 2019 年 8 月 20 日 | Webex クラウドへのハイブリッド データ セキュリティ ノード通信のプロキシ サポートをカバーするセクションを追加および更新しました。 既存の展開のプロキシ サポート コンテンツだけにアクセスするには、「ハイブリッド データ セキュリティと Webex ビデオ メッシュのプロキシ サポート」のヘルプ記事を参照してください。 | ||
| 2019年6月13日。 | トライアルから本番稼働タスク フローに更新し、 HdsTrialGroup 組織がディレクトリ同期を使用している場合、トライアルを開始する前にグループ オブジェクト。 | ||
| 2019年3月6日（火） |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018年11月5日。 |
| ||
| 2018年10月19日水曜日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018/05/21 | Cisco Spark のリブランディングを反映する用語の変更:
| ||
| 2018年4月11日。 |
| ||
| 2018年2月22日水曜日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017年11月2日。 |
| ||
2017年8月18日。 | 初公開。 |
ハイブリッド データ セキュリティの概要
初日から、Webex アプリの設計において、データ セキュリティが主な焦点となっています。 このセキュリティはエンドツーエンドのコンテンツ暗号化を基礎とし、 Webexアプリ クライアントがキー管理サービス (KMS) とやり取りすることで実現しました。 KMS はメッセージとファイルを動的に暗号化し、解読するためにクライアントが使用する暗号キーの作成と管理の責任を負っています。
デフォルトでは、すべての Webex アプリの顧客は、Cisco のセキュリティ領域にあるクラウド KMS に保存されている動的キーを使用して、エンドツーエンドの暗号化を取得します。 ハイブリッド データ セキュリティは、KMS とその他のセキュリティ関連の機能をあなたのエンタープライズ データ センターに移動するため、誰でもなくあなたが暗号化コンテンツの鍵を持っています。
セキュリティRealmアーキテクチャ
Webex クラウド アーキテクチャは、以下に示すように、さまざまなタイプのサービスを別々の領域、または信頼ドメインに分離します。
ハイブリッド データ セキュリティをさらに理解するには、まず、シスコがクラウド レルムですべての機能を提供しているこの純粋なクラウド ケースを見てみましょう。 メールアドレスなどの個人情報とユーザーが直接相関できる唯一の場所であるアイデンティティサービスは、データセンターBのセキュリティ領域と論理的かつ物理的に分離されています。
この図では、クライアントはユーザーのラップトップで実行されている Webex アプリであり、ID サービスで認証されています。 ユーザがスペースに送信するメッセージを作成すると、次の手順が実行されます。
クライアントは、キー管理サービス（KMS）とのセキュアな接続を確立し、メッセージを暗号化するためのキーを要求します。 安全な接続は ECDH を使用し、KMS は AES-256 マスター キーを使用してキーを暗号化します。
メッセージはクライアントを離れる前に暗号化されます。 クライアントはインデックスをインデックスサービスに送信します。これにより、暗号化された検索インデックスが作成され、今後のコンテンツの検索に役立ちます。
暗号化されたメッセージは、コンプライアンス チェックのためにコンプライアンス サービスに送信されます。
暗号化されたメッセージはストレージ領域に保存されます。
ハイブリッド データ セキュリティを展開すると、セキュリティ レルム機能 (KMS、インデックス、コンプライアンス) をオンプレミスのデータセンターに移動します。 Webex を構成する他のクラウド サービス (ID とコンテンツ ストレージを含む) は、シスコの領域に残ります。
他の組織との連携
組織内のユーザーは、Webex アプリを定期的に使用して、他の組織の外部参加者とコラボレーションできます。 ユーザーの 1 人が組織によって所有されているスペースのキーを要求すると（ユーザーの 1 人が作成したため）、KMS は ECDH 保護されたチャネルを介してキーをクライアントに送信します。 ただし、別の組織がスペースのキーを所有している場合、KMS は別の ECDH チャネルを介してリクエストを WEBEX クラウドにルーティングして、適切な KMS からキーを取得し、元のチャネルのユーザーにキーを返します。
組織 A で実行されている KMS サービスは、x.509 PKI 証明書を使用して他の組織の KMS への接続を検証します。 ハイブリッド データ セキュリティの展開で使用する x.509 証明書の生成の詳細については、「環境の準備」を参照してください。
ハイブリッド データ セキュリティの展開への期待
ハイブリッド データ セキュリティの展開には、重要な顧客のコミットメントと、暗号化キーの所有に伴うリスクの認識が必要です。
ハイブリッド データ セキュリティを展開するには、以下を提供する必要があります。
Cisco Webex Teams プランで サポートされている国の安全なデータセンター。
環境の準備で説明する装置、ソフトウェア、およびネットワークアクセス。
ハイブリッド データ セキュリティ用に構築する構成 ISO または提供されたデータベースのいずれかを完全に失うと、キーが失われます。 キー損失は、ユーザーが Webex アプリでスペース コンテンツやその他の暗号化されたデータを復号することを防ぎます。 この場合、新しい展開を構築できますが、新しいコンテンツのみが表示されます。 データへのアクセスの損失を避けるには、以下を行う必要があります。
データベースのバックアップとリカバリ、および構成ISOを管理します。
データベースのディスク障害やデータセンター障害などの大災害が発生した場合、迅速な災害復旧を実行する準備をしてください。
| HDS 導入後にキーをクラウドに戻すメカニズムはありません。 |
高レベルのセットアッププロセス
このドキュメントでは、ハイブリッド データ セキュリティ展開のセットアップと管理について説明します。
ハイブリッド データ セキュリティのセットアップ—これには、必要なインフラストラクチャの準備とハイブリッド データ セキュリティ ソフトウェアのインストール、トライアル モードでのユーザーのサブセットを使用した展開のテスト、テストが完了すると本番環境に移行することが含まれます。 これにより、組織全体がセキュリティ機能にハイブリッド データ セキュリティ クラスタを使用できるようになります。
セットアップ、トライアル、および生産の各段階は、次の3つの章で詳しく説明されています。
ハイブリッド データ セキュリティの展開を維持する—Webex クラウドは自動的に継続的なアップグレードを提供します。 IT 部門は、この展開に対してティア 1 のサポートを提供し、必要に応じてシスコのサポートを引き受けることができます。 画面上の通知を使用し、Control Hub でメールベースのアラートを設定できます。
一般的なアラート、トラブルシューティング手順、および既知の問題について理解する—ハイブリッド データ セキュリティの展開または使用で問題が発生した場合、このガイドの最後の章と既知の問題の付録は、問題を決定および修正するのに役立ちます。
ハイブリッド データ セキュリティ展開モデル
エンタープライズ データ センターでは、ハイブリッド データ セキュリティを個別の仮想ホスト上のノードの単一のクラスタとして展開します。 ノードは、セキュアなウェブソケットとセキュアな HTTP を通じて Webex クラウドと通信します。
インストールプロセス中に、提供するVM上の仮想アプライアンスを設定するためのOVAファイルを提供します。 HDS セットアップ ツールを使用して、各ノードにマウントするカスタム クラスタ構成 ISO ファイルを作成します。 ハイブリッド データ セキュリティ クラスタは、提供された Syslogd サーバーと PostgreSQL または Microsoft SQL Server データベースを使用します。 (HDS セットアップツールで Syslogd とデータベース接続の詳細を設定します。)
クラスタに持つことができるノードの最小数は 2 です。 私たちは少なくとも3つをお勧めします、そしてあなたは最大5つを持つことができます。 複数のノードを持つことにより、ノードのソフトウェアアップグレードやその他のメンテナンス作業中にサービスが中断されないようにします。（Webex クラウドは一度に 1 つのノードのみをアップグレードします。）
クラスタ内のすべてのノードが同じキーデータストアにアクセスし、同じ syslog サーバにアクティビティをログします。 ノード自体はステートレスであり、クラウドの指示に従って、ラウンドロビン方式で重要な要求を処理します。
ノードは、Control Hub に登録するとアクティブになります。 個々のノードをサービスから削除するには、登録を解除し、必要に応じて後で再登録できます。
組織ごとに 1 つのクラスタのみをサポートします。
ハイブリッド データ セキュリティ トライアル モード
ハイブリッド データ セキュリティの展開をセットアップした後、最初にパイロット ユーザーのセットで試してください。 トライアル期間中、これらのユーザーは暗号化キーやその他のセキュリティ領域サービスにオンプレミスのハイブリッド データ セキュリティ ドメインを使用します。 他のユーザーは引き続きクラウド セキュリティ レルムを使用します。
トライアル中に展開を続行せず、サービスを無効にすると、パイロットユーザーとトライアル期間中に新しいスペースを作成して対話したユーザーは、メッセージとコンテンツへのアクセス権を失います。 Webex アプリに「このメッセージは復号化できません」と表示されます。
導入がトライアル ユーザーに対してうまく機能しており、ハイブリッド データ セキュリティをすべてのユーザーに拡張する準備ができている場合は、導入を本番環境に移行します。 パイロットのユーザーは、トライアル中に使用されたキーにアクセスできます。 ただし、プロダクションモードと元のトライアルを行ったり来たりすることはできません。 ディザスタ リカバリを実行するなど、サービスを非アクティブ化する必要がある場合は、再アクティブ化時に新しいトライアルを開始し、新しいトライアルのパイロット ユーザーのセットを設定してから、プロダクション モードに戻す必要があります。 ユーザがこの時点でデータへのアクセスを保持するかどうかは、クラスタ内のハイブリッド データ セキュリティ ノードのキー データ ストアと ISO 構成ファイルのバックアップを正常に維持したかどうかに依存します。
災害復旧のためのスタンバイデータセンター
展開中に、セキュアなスタンバイデータセンターを設定します。 データセンターに障害が発生した場合、スタンバイデータセンターへの展開を手動で失敗させることができます。
アクティブ データ センターとスタンバイ データ センターのデータベースが相互に同期されているため、フェールオーバーを実行するのにかかる時間が最小限に抑えられます。 スタンバイデータセンターの ISO ファイルは、ノードが組織に登録されていることを確認する追加の構成で更新されますが、トラフィックは処理されません。 したがって、スタンバイデータセンターのノードは、常に最新バージョンのHDSソフトウェアで最新の状態に保たれます。
| アクティブなハイブリッド データ セキュリティ ノードは、常にアクティブなデータベース サーバと同じデータセンターにある必要があります。 |
災害復旧のためのスタンバイデータセンターを設定
スタンバイデータセンターの ISO ファイルを設定するには、以下の手順に従います。
始める前に
スタンバイデータセンターは、VMとバックアップPostgreSQLまたはMicrosoft SQL Serverデータベースの生産環境をミラーリングする必要があります。 たとえば、本番環境に HDS ノードを実行する 3 台の仮想マシンがある場合、バックアップ環境には 3 台の仮想マシンが必要です (このフェールオーバーモデルの概要については、「Standby Data Center for Disaster Recovery」を参照してください)。
アクティブクラスタノードとパッシブクラスタノードのデータベース間でデータベース同期が有効になっていることを確認します。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。
| ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加して、ノードをパッシブモードにします。 このモードでは、ノードは組織に登録され、クラウドに接続されますが、トラフィックは処理されません。
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
設定後 passiveMode ISOファイルに保存すると、ISOファイルの別のコピーを作成できます。 passiveMode 設定し、安全な場所に保存します。 このISOファイルのコピー passiveMode 設定すると、ディザスタ リカバリ中の迅速なフェールオーバー プロセスに役立ちます。 詳細なフェールオーバー手順については、「 スタンバイデータセンターを使用したディザスタ リカバリ」を参照してください。
プロキシサポート
ハイブリッド データ セキュリティは、明示的な透過的な検査および非検査プロキシをサポートします。 これらのプロキシを展開に関連付けることができます。これにより、エンタープライズからクラウドに送信されるトラフィックをセキュリティ保護し、監視することができます。 証明書の管理のノードでプラットフォーム管理インターフェイスを使用して、ノードでプロキシを設定した後で、全体的な接続ステータスを確認することができます。
ハイブリッド データ セキュリティ ノードは、以下のプロキシ オプションをサポートしています。
プロキシなし—プロキシを統合するために、HDS ノード セットアップの信頼ストアとプロキシ設定を使用しない場合は、デフォルトになります。 証明書の更新は必要ありません。
透過型の検査なしのプロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていないため、検査なしのプロキシで動作するように変更を加える必要はありません。 証明書の更新は必要ありません。
透過トンネリングまたは検査プロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。 ノードでは、HTTP または HTTPS の設定変更は必要ありません。 ただし、ノードはプロキシを信頼するためにルート証明書を必要とします。 プロキシを検査することで、Web サイトにアクセスするか、どのタイプのコンテンツを使用するかを強制するポリシーを施行することができます。 このタイプのプロキシは、すべてのトラフィック (HTTPS さえも含む) を復号化します。
明示的プロキシ—明示的なプロキシを使用して、使用するプロキシ サーバーと認証スキームを指定します。 明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
プロキシ IP/FQDN—プロキシ マシンに到達するために使用できるアドレス。
プロキシ ポート-プロキシがプロキシ トラフィックをリスンするために使用するポート番号。
プロキシ プロトコル-プロキシ サーバーがサポートするものに応じて、次のいずれかのプロトコルを選択します。
HTTP—クライアントが送信するすべての要求を表示し、コントロールします。
HTTPS—サーバーにチャネルを提供します。 クライアントがサーバーの証明書を受け取り、検証します。
認証タイプ-次の認証タイプから選択します。
なし—追加の認証は必要ありません。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
ベーシック—HTTP ユーザー エージェントがリクエストを行う際にユーザー名とパスワードを指定するために使用されます。 Base64 エンコードを使用します。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ダイジェスト—機密情報を送信する前にアカウントを確認するために使用されます。 ネットワークを経由して送信する前に、ユーザー名およびパスワードにハッシュ機能を適用します。
プロキシ プロトコルとして HTTPS を選択した場合にのみ利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ハイブリッド データ セキュリティ ノードとプロキシの例
この図は、ハイブリッド データ セキュリティ、ネットワーク、およびプロキシ間の接続例を示しています。 透過的な検査および HTTPS 明示的な検査プロキシ オプションの場合、同じルート証明書がプロキシとハイブリッド データ セキュリティ ノードにインストールされている必要があります。
外部 DNS 解決ブロックモード (明示的プロキシ構成)
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 内部クライアントのための外部 DNS 解決が許可されていない、明示的なプロキシ構成の展開では、ノードが DNS サーバーに問い合わせができない場合、自動的に外部 DNS 解決ブロックモードに切り替わります。 このモードでは、ノード登録および他のプロキシ接続テストを続行することができます。
ハイブリッド データ セキュリティの要件
Cisco Webex ライセンス要件
ハイブリッド データ セキュリティを展開するには:
Cisco Webex Control Hub 用の Pro Pack が必要です (https://www.cisco.com/go/pro-pack を参照してください)。
Docker デスクトップの要件
HDS ノードをインストールする前に、セットアッププログラムを実行するには Docker Desktop が必要です。 Dockerは最近、ライセンスモデルを更新しました。 あなたの組織は、Docker デスクトップの有料サブスクリプションを必要としている場合があります。 詳細については、Docker ブログ投稿次を参照してください。 Docker は製品のサブスクリプションを更新し、延長しています」に置き換えることで、URL が有効かどうかを検証できます。
X.509 証明書の要件
証明書チェーンは、次の要件を満たしている必要があります。
要件 | の詳細 |
|---|---|
| デフォルトでは、https://wiki.mozilla.org/CA:IncludedCAsでMozillaリスト（WoSignとStartComを除く）のCAを信頼しています。 |
| CN に到達可能またはライブホストである必要はありません。 組織を反映する名前を使用することを推奨します。たとえば、 CN に * (ワイルドカード) を含めることはできません。 CN は、Webex アプリ クライアントへのハイブリッド データ セキュリティ ノードを確認するために使用されます。 クラスタ内のすべてのハイブリッド データ セキュリティ ノードが同じ証明書を使用します。 KMS は、x.509v3 SAN フィールドで定義されているドメインではなく、CN ドメインを使用して自身を識別します。 この証明書でノードを登録すると、CN ドメイン名の変更はサポートされません。 トライアル展開と本番展開の両方に適用できるドメインを選択します。 |
| KMS ソフトウェアは、他の組織の KMS への接続を検証するための SHA1 署名をサポートしていません。 |
| OpenSSL などのコンバータを使用して、証明書の形式を変更できます。 HDSセットアップツールを実行するときは、パスワードを入力する必要があります。 |
KMS ソフトウェアは、キーの使用や拡張キーの使用制限を強制しません。 一部の証明機関では、サーバ認証など、各証明書に拡張されたキーの使用制限を適用する必要があります。 サーバー認証やその他の設定を使用してもかまいません。
仮想ホストの要件
クラスタ内のハイブリッド データ セキュリティ ノードとして設定する仮想ホストには、次の要件があります。
同じセキュア データ センターでコロケーションされた少なくとも 2 つの別のホスト (3 つの推奨)
VMware ESXi 6.5 (またはそれ以降) がインストールされ、実行されています。
以前のバージョンの ESXi がある場合は、アップグレードする必要があります。
最低4vCPU、8GBメインメモリ、サーバーあたり30GBのローカルハードディスク容量
データベースサーバーの要件
| キーストレージ用の新しいデータベースを作成します。 デフォルトのデータベースを使用しないでください。 HDS アプリケーションをインストールすると、データベース スキーマが作成されます。 |
データベースサーバーには2つのオプションがあります。 各要件は以下のとおりです。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） | ||
|---|---|---|---|
|
| ||
最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） | 最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） |
HDS ソフトウェアは現在、データベース サーバとの通信用に次のドライバ バージョンをインストールしています。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） |
|---|---|
Postgres JDBCドライバ 42.2.5 | SQL Server JDBC ドライバ 4.6 このドライババージョンは、SQL Server Always On（Always On Failover Cluster InstancesおよびAlways On availability groups）をサポートしています。 |
Microsoft SQL Server に対する Windows 認証の追加要件
HDS ノードが Windows 認証を使用して Microsoft SQL Server のキーストア データベースにアクセスできるようにするには、環境内で次の設定が必要です。
HDS ノード、Active Directory インフラストラクチャ、MS SQL Server はすべて NTP と同期する必要があります。
HDS ノードに提供する Windows アカウントは、データベースへの読み取り/書き込みアクセス権を持っている必要があります。
HDS ノードに提供する DNS サーバは、キー配布センター (KDC) を解決できる必要があります。
Microsoft SQL Server に HDS データベース インスタンスをサービス プリンシパル名 (SPN) として Active Directory に登録できます。 詳細は、Kerberos Connections のサービス プリンシパル名を登録するを参照してください。
HDS セットアップツール、HDS ランチャー、およびローカル KMS はすべて、キーストアデータベースにアクセスするために Windows 認証を使用する必要があります。 Kerberos 認証でアクセスを要求するときに、ISO 設定の詳細を使用して SPN を構築します。
外部接続の要件
HDS アプリケーションに次の接続を許可するようにファイアウォールを設定します。
アプリケーション | プロトコル | ポート | アプリからの方向 | 移動先 |
|---|---|---|---|---|
ハイブリッド データ セキュリティ ノード | TCP | 443 | アウトバウンド HTTPS および WSS |
|
HDS 設定ツール | TCP | 443 | アウトバウンド HTTPS |
|
| ハイブリッド データ セキュリティ ノードは、ネットワークアクセス変換（NAT）またはファイアウォールの後ろで動作します。ただし、NAT またはファイアウォールが前の表のドメイン宛先への必要な発信接続を許可している場合に限ります。 ハイブリッド データ セキュリティ ノードにインバウンドする接続の場合、インターネットからポートを表示することはできません。 データセンター内では、管理目的で、クライアントは TCP ポート 443 および 22 のハイブリッド データ セキュリティ ノードにアクセスする必要があります。 |
Common Identity (CI) ホストの URL は地域固有です。 これらは現在の CI ホストです。
地域 | 共通 ID ホスト URL |
|---|---|
Americas (北米、中南米エリア) |
|
欧州連合 |
|
カナダ |
|
プロキシ サーバーの要件
お使いのハイブリッド データ セキュリティ ノードと統合できる次のプロキシ ソリューションを正式にサポートしています。
透過的プロキシ—Cisco Web Security Appliance (WSA)。
明示的プロキシ—Squid。
HTTPS トラフィックを検査する Squid プロキシは、websocket (wss:) 接続の確立に干渉することができます。 接続の確立に干渉することができます。 この問題を回避するには、「ハイブリッド データ セキュリティ用の Squid プロキシの設定」を参照してください。
明示的プロキシに対して次の認証タイプの組み合わせがサポートされています。
HTTP または HTTPS による認証がありません
HTTP または HTTPS による基本認証
HTTPS のみによるダイジェスト認証
透過的検査プロキシまたは HTTPS 明示的プロキシについては、プロキシのルート証明書のコピーが必要です。 このガイドに記載されている展開手順は、ハイブリッド データ セキュリティ ノードの信頼ストアにコピーをアップロードする方法を説明しています。
HDS ノードをホストするネットワークは、ポート 443 のアウトバウンド TCP トラフィックを強制的にプロキシ経由でルーティングするように設定されている必要があります。
Web トラフィックを検査するプロキシは、Web ソケット接続に干渉する場合があります。 この問題が発生した場合、トラフィックをバイパス（検査しない）して
wbx2.comおよびciscospark.com問題を解決します。
ハイブリッド データ セキュリティの前提条件を完了する
| 1 | Webex 組織が Pro Pack for Cisco Webex Control Hub に対して有効になっていることを確認し、完全な組織管理者権限を持つアカウントの資格情報を取得します。 このプロセスについては、Cisco パートナーまたはアカウント マネージャーにお問い合わせください。 | ||
| 2 | HDS 展開のドメイン名を選択します (たとえば、 | ||
| 3 | クラスタ内のハイブリッド データ セキュリティ ノードとして設定する同一の仮想ホストを準備します。 仮想ホスト要件の要件を満たす同じセキュアデータセンターにコロケーションされた少なくとも2つの個別のホスト（3つの推奨）が必要です。 | ||
| 4 | データベースサーバーの要件に従って、クラスタのキーデータストアとして機能するデータベースサーバーを準備します。 データベースサーバーは、仮想ホストと安全なデータセンターでコロケーションする必要があります。 | ||
| 5 | 迅速な災害復旧のために、別のデータセンターにバックアップ環境を設定します。 バックアップ環境は、VMとバックアップデータベースサーバの生成環境をミラーリングします。 たとえば、本番環境に HDS ノードを実行する 3 つの仮想マシンがある場合、バックアップ環境には 3 つの VM が必要です。 | ||
| 6 | syslog ホストをセットアップして、クラスタ内のノードからログを収集します。 ネットワーク アドレスと syslog ポートを収集します（デフォルトは UDP 514）。 | ||
| 7 | ハイブリッド データ セキュリティ ノード、データベース サーバ、および syslog ホスト用のセキュア バックアップ ポリシーを作成します。 少なくとも、回復不能なデータの損失を防ぐには、ハイブリッド データ セキュリティ ノード用に生成されたデータベースと構成 ISO ファイルをバックアップする必要があります。
Webex アプリ クライアントはキーをキャッシュするため、停止がすぐに目立つことはありませんが、時間の経過とともに明らかになります。 一時的な停止を防ぐことは不可能ですが、それらは回復可能です。 ただし、データベースまたは構成のISOファイルの完全な損失(利用可能なバックアップはありません)は、回復不能な顧客データになります。 ハイブリッド データ セキュリティ ノードのオペレータは、データベースと構成 ISO ファイルの頻繁なバックアップを維持し、壊滅的な障害が発生した場合にハイブリッド データ セキュリティ データ センターを再構築する準備をする必要があります。 | ||
| 8 | ファイアウォール構成により、外部接続要件で説明されているように、ハイブリッド データ セキュリティ ノードの接続が許可されていることを確認してください。 | ||
| 9 | サポートされているOS（Microsoft Windows 10 ProfessionalまたはEnterprise 64ビット、またはMac OSX Yosemite 10.10.3以降）を実行しているローカルマシンにDocker（https://www.docker.com）をインストールし、次の場所からアクセスできます。 http://127.0.0.1:8080. Docker インスタンスを使用して、すべてのハイブリッド データ セキュリティ ノードのローカル設定情報を構築する HDS セットアップ ツールをダウンロードして実行します。 組織には Docker Desktop ライセンスが必要になる場合があります。 詳細については、「Docker デスクトップの要件」を参照してください。 HDSセットアップツールをインストールして実行するには、ローカルマシンに外部接続要件に記載されている接続性が必要です。 | ||
| 10 | プロキシとハイブリッド データ セキュリティを統合する場合は、プロキシ サーバーの要件を満たしていることを確認してください。 | ||
| 11 | 組織でディレクトリ同期を使用している場合は、Active Directory でグループを作成します。
|
ハイブリッド データ セキュリティ展開タスク フロー
始める前に
| 1 |
後で使用するために、OVA ファイルをローカル マシンにダウンロードします。 | ||
| 2 |
HDS セットアップ ツールを使用して、ハイブリッド データ セキュリティ ノードの ISO 設定ファイルを作成します。 | ||
| 3 |
OVA ファイルから仮想マシンを作成し、ネットワーク設定などの初期設定を実行します。
| ||
| 4 |
VM コンソールにサインインし、サインイン資格情報を設定します。 OVA 展開時にノードを設定しなかった場合は、ノードのネットワーク設定を構成します。 | ||
| 5 |
HDS セットアップ ツールを使用して作成した ISO 設定ファイルから VM を設定します。 | ||
| 6 |
ネットワーク環境にプロキシ設定が必要な場合は、ノードに使用するプロキシのタイプを指定し、必要に応じてプロキシ証明書を信頼ストアに追加します。 | ||
| 7 |
ハイブリッド データ セキュリティ ノードとして Cisco Webex クラウドに仮想マシンを登録します。 | ||
| 8 |
クラスタの設定を完了します。 | ||
| 9 | トライアルを実行して本番環境に移動 (次の章) トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
インストールファイルのダウンロード
| 1 | https://admin.webex.comにサインインし、「サービス」をクリックします。 | ||||
| 2 | [ハイブリッド サービス] セクションで、ハイブリッド データ セキュリティ カードを見つけて、[セットアップ] をクリックします。 カードが無効になっているか、表示されない場合は、アカウントチームまたはパートナー組織に連絡してください。 アカウント番号を入力し、組織でハイブリッド データ セキュリティを有効にするように依頼します。 アカウント番号を見つけるには、組織名の横にある右上の歯車をクリックします。
| ||||
| 3 | ノードがまだセットアップされていないことを示すにはいいえを選択し、「次へ」をクリックします。 OVAファイルは自動的にダウンロードを開始します。 ファイルをマシン上の場所に保存します。
| ||||
| 4 | 必要に応じて、［導入ガイドを開く］をクリックして、このガイドの後半バージョンが利用可能かどうかを確認します。 |
HDS ホストの設定 ISO を作成する
ハイブリッド データ セキュリティのセットアップ プロセスは、ISO ファイルを作成します。 その後、ISO を使用してハイブリッド データ セキュリティ ホストを設定します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、手順 5 で Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT生成する構成 ISO ファイルには、PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーが含まれています。 次のように、設定を変更するたびに、このファイルの最新のコピーが必要です。
データベースの資格情報
証明書の更新
承認ポリシーの変更
データベース接続を暗号化する場合は、TLS 用の PostgreSQL または SQL Server 展開をセットアップします。
| 1 | マシンのコマンド ラインで、お使い環境に適切なコマンドを入力します。 一般環境: FedRAMP 環境の場合:
| ||||||||||||
| 2 | Docker 画像レジストリにサインインするには、以下を入力します。 | ||||||||||||
| 3 | パスワードのプロンプトに対して、このハッシュを入力します。 | ||||||||||||
| 4 | お使い環境に合った最新の安定した画像をダウンロードします。 一般環境: FedRAMP 環境の場合: | ||||||||||||
| 5 | プルが完了したら、お使いの環境に適切なコマンドを入力します。
コンテナが実行中の時。「ポート 8080 で Express サーバー リスニング中」と表示されます。 | ||||||||||||
| 6 |
Web ブラウザを使用して localhost に移動し、 このツールは、ユーザー名の最初のエントリを使用して、そのアカウントの適切な環境を設定します。 このツールには、標準のサインインプロンプトが表示されます。 | ||||||||||||
| 7 | プロンプトが表示されたら、Control Hub の顧客管理者のサインイン資格情報を入力し、[ログイン] をクリックして、ハイブリッド データ セキュリティに必要なサービスへのアクセスを許可します。 | ||||||||||||
| 8 | [セットアップツールの概要] ページで、[はじめに] をクリックします。 | ||||||||||||
| 9 | ［ISOインポート］ページには、次のオプションがあります。
| ||||||||||||
| 10 | X.509 証明書がX.509 証明書要件の要件を満たしていることを確認してください。
| ||||||||||||
| 11 | HDS のデータベース アドレスとアカウントを入力して、キー データストアにアクセスします。 | ||||||||||||
| 12 | TLS データベース接続モードを選択します。
ルート証明書をアップロードし（必要に応じて）、［続行］をクリックすると、HDS Setup Tool がデータベース サーバへの TLS 接続をテストします。 また、必要に応じて、証明書の署名者とホスト名も検証されます。 テストが失敗した場合、問題を説明するエラー メッセージがツールによって表示されます。 エラーを無視してセットアップを続行するかどうかを選択できます。 （接続性の違いにより、HDS Setup Tool マシンが正常にテストできない場合でも、HDS ノードは TLS 接続を確立できる場合があります）。 | ||||||||||||
| 13 | [システムログ（System Logs）] ページで、Syslogd サーバを設定します。 | ||||||||||||
| 14 | （オプション）一部のデータベース接続パラメータのデフォルト値は、［詳細設定］で変更できます。 通常、このパラメータは、変更する可能性のある唯一のパラメータです。 | ||||||||||||
| 15 | [サービスアカウントのパスワードをリセット] 画面の [続行] をクリックします。 サービスアカウントのパスワードは9ヶ月の寿命を持っています。 パスワードの有効期限が近づいている場合、または以前の ISO ファイルを無効にするためにパスワードをリセットする場合は、この画面を使用します。 | ||||||||||||
| 16 | [ISOファイルのダウンロード] をクリックします。 見つけやすい場所にファイルを保存します。 | ||||||||||||
| 17 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||||||||||||
| 18 | セットアップ ツールをシャットダウンするために次のように入力します。 |
次に行うこと
設定 ISO ファイルをバックアップします。 リカバリのためにより多くのノードを作成したり、設定を変更したりする必要があります。 ISOファイルのコピーをすべて失うと、マスターキーも失われます。 PostgreSQL または Microsoft SQL Server データベースからキーを回復することはできません。
| 私たちはこのキーのコピーを持っていないし、あなたがそれを失ったら助けることができません。 |
HDS ホスト OVA のインストール
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインします。 | ||||||
| 2 | ファイル > OVF テンプレートを展開を選択します。 | ||||||
| 3 | ウィザードで、先ほどダウンロードしたOVAファイルの場所を指定し、 をクリックします。 次へだ | ||||||
| 4 | の 名前とフォルダを選択ページ、を入力します 仮想マシン名ノード（たとえば、「HDS_Node_1」）で、仮想マシンノードの展開が可能な場所を選択し、次へだ | ||||||
| 5 | の 計算リソースを選択ページで、宛先計算リソースを選択し、をクリックします。 次へだ 検証チェックが実行されます。 完了すると、テンプレートの詳細が表示されます。 | ||||||
| 6 | テンプレートの詳細を確認し、［次へ］をクリックします。 | ||||||
| 7 | のリソース設定を選択するよう求められた場合 設定ページ、をクリックします。 4 CPU をクリックし、 をクリックします。 次へだ | ||||||
| 8 | の ストレージを選択ページ、をクリックします。 次へは、デフォルトのディスク形式とVMストレージポリシーを受け入れます。 | ||||||
| 9 | の ネットワークを選択ページで、エントリのリストからネットワークオプションを選択し、仮想マシンへの接続を提供します。 | ||||||
| 10 | [テンプレートのカスタマイズ] ページで、次のネットワーク設定を構成します。
必要に応じて、ネットワーク設定の構成をスキップし、[ハイブリッド データ セキュリティ VM のセットアップ] の手順に従って、ノード コンソールから設定を構成できます。
| ||||||
| 11 | ノードVMを右クリックし、だ。 ハイブリッド データ セキュリティ ソフトウェアは、VM ホストにゲストとしてインストールされます。 これで、コンソールにサインインしてノードを設定する準備ができました。 トラブルシューティングのヒント ノード コンテナーが出てくるまでに、数分間の遅延がある場合があります。 初回起動の間、ブリッジ ファイアウォール メッセージが、コンソールに表示され、この間はサイン インできません。 |
ハイブリッド データ セキュリティ VM のセットアップ
この手順を使用して、ハイブリッド データ セキュリティ ノード VM コンソールに初めてサインインし、サインイン クレデンシャルを設定します。 OVA 展開時に設定しなかった場合は、コンソールを使用してノードのネットワーク設定を構成することもできます。
| 1 | VMware vSphere クライアントで、ハイブリッド データ セキュリティ ノード VM を選択し、[コンソール] タブを選択します。 VM が起動し、ログインプロンプトが表示されます。 ログインプロンプトが表示されない場合は、 入力を押してください。
|
| 2 | 次のデフォルトのログインとパスワードを使用してサインインし、資格情報を変更します。 初めて仮想マシンにサインインするため、管理者パスワードを変更する必要があります。 |
| 3 | ［HDS ホスト OVA のインストール］でネットワーク設定をすでに設定している場合は、残りの手順をスキップします。 それ以外の場合は、メインメニューで［設定の編集］オプションを選択します。 |
| 4 | IP アドレス、マスク、ゲートウェイ、DNS 情報を含む静的設定をセットアップします。 ノードには内部 IP アドレスと DNS 名が必要です。 DHCP はサポートされていません。 |
| 5 | (オプション) ネットワーク ポリシーと一致する必要がある場合は、ホスト名、ドメイン、または NTP サーバを変更します。 X.509 証明書を取得するために使用したドメインと一致するようにドメインを設定する必要はありません。 |
| 6 | ネットワーク設定を保存し、仮想マシンを再起動して、変更を有効にします。 |
HDS 設定 ISO のアップロードとマウント
始める前に
ISOファイルはマスターキーを保持しているため、Hybrid Data Security VMおよび変更が必要な管理者によるアクセスのために、「知る必要性」に基づいてのみ公開する必要があります。 これらの管理者だけがデータストアにアクセスできることを確認してください。
| 1 | コンピュータから ISO ファイルをアップロードします。 |
| 2 | ISO ファイルをマウントします。 |
次に行うこと
IT ポリシーが必要な場合は、すべてのノードが設定変更をピックアップした後、オプションで ISO ファイルのマウントを解除できます。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。
プロキシ統合のために HDS ノードを設定する
ネットワーク環境でプロキシが必要な場合は、この手順を使用して、ハイブリッド データ セキュリティと統合するプロキシのタイプを指定します。 透過型のプロキシまたは HTTPS を明示的なプロキシを選択した場合、ノードのインターフェイスを使用してルート証明書をアップロードしてインストールすることができます。 インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。
始める前に
サポートされているプロキシオプションの概要については、プロキシサポートを参照してください。
| 1 | HDS ノードのセットアップ URL を入力 |
| 2 | [信頼ストアとロキシ] に移動して、次のオプションを選択します。
透過型検査プロキシ、基本認証を持つ HTTP 明示プロキシ、または HTTPS 明示プロキシについては、次のステップに従ってください。 |
| 3 | [ルート証明書またはエンティティ終了証明書のアップロード] をクリックし、プロキシのルート証明書を選択するために移動します。 証明書はアップロードされていますが、まだインストールされていません。証明書をインストールするにはノードを再起動する必要があります。 証明書発行者名の山形矢印をクリックして詳細を確認するか、間違っている場合は [削除] をクリックして、ファイルを再度アップロードしてください。 |
| 4 | [プロキシ接続を確認する] をクリックして、ノードとプロキシ間のネットワーク接続性をテストします。 接続テストが失敗した場合は、エラーメッセージが表示され、問題を解決するための理由と方法が示されます。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しています。 この状況は、多くの明示的なプロキシ構成で想定されています。 セットアップを続行すると、ノードは外部 DNS 解決ブロックモードで機能します。 これがエラーと思われる場合は、次の手順を実行し、「ブロックされた外部 DNS 解決モードをオフにする」を参照してください。 |
| 5 | 接続テストが成功した後、明示的なプロキシについては https のみに設定し、このノードからの すべてのポートの 443/444 https 要求を明示的プロキシを通してルーティングするように切り替えます。 この設定を有効にするには 15 秒かかります。 |
| 6 | [すべての証明書を信頼ストアにインストールする(HTTPS 明示プロキシまたは透過型のプロキシで表示される)] または [再起動] をクリックして、プロンプトを読み、準備が完了したら [インストール] をクリックします。 ノードが数分以内に再起動されます。 |
| 7 | ノードが再起動したら、必要に応じて再度サインインして、[概要] ページを開き、接続チェックを確認してすべて緑色のステータスになっていることを確認します。 プロキシ接続の確認は webex.com のサブドメインのみをテストします。 接続の問題がある場合、インストール手順に記載されているクラウド ドメインの一部がプロキシでブロックされているという問題がよく見られます。 |
クラスタ内の最初のノードを登録する
最初のノードを登録するとき、クラスターをノードが指定されている場所に作成します。 クラスタには、冗長性を提供するために展開された 1 つ以上のノードが含まれています。
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | https://admin.webex.comにサインインします。 |
| 2 | スクリーンの左側にあるメニューからサービスを選択します。 |
| 3 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[セットアップ] をクリックします。 [ハイブリッド データ セキュリティ ノードの登録] ページが表示されます。
|
| 4 | ノードを設定し、登録する準備ができていることを示すには、「はい」を選択し、「次へ」をクリックします。 |
| 5 | 最初のフィールドに、ハイブリッド データ セキュリティ ノードを割り当てるクラスタの名前を入力します。 クラスタのノードが地理的にどこに配置されているかに基づきクラスタに名前を付けることをお薦めします。 例: 「サンフランシスコ」「ニューヨーク」「ダラス」 |
| 6 | 2 番目のフィールドに、ノードの内部 IP アドレスまたは完全修飾ドメイン名（FQDN）を入力し、[次へ] をクリックします。 この IP アドレスまたは FQDN は、ハイブリッド データ セキュリティ VM のセットアップ で使用した IP アドレスまたはホスト名とドメインと一致する必要があります。 ノードを Webex に登録できることを示すメッセージが表示されます。
|
| 7 | [ノードに進む] をクリックします。 |
| 8 | 警告メッセージの [続ける] をクリックします。 しばらくすると、Webex サービスのノード接続テストにリダイレクトされます。 すべてのテストが成功すると、[ハイブリッド データ セキュリティ ノードへのアクセスを許可（Allow Access to Hybrid Data Security Node）] ページが表示されます。 ここで、ノードにアクセスする権限を Webex 組織に付与することを確認します。
|
| 9 | [ハイブリッド データ セキュリティ ノードへのアクセスを許可] チェックボックスをオンにして、[続行] をクリックします。 アカウントが検証され、「登録完了」メッセージは、ノードが Webex クラウドに登録されたことを示します。
|
| 10 | リンクをクリックするか、タブを閉じて、[Control Hub ハイブリッド データ セキュリティ] ページに戻ります。 [ハイブリッド データ セキュリティ] ページで、登録したノードを含む新しいクラスタが表示されます。 ノードはクラウドから最新のソフトウェアを自動的にダウンロードします。
|
より多くのノードを作成して登録する
| 現時点では、「ハイブリッド データ セキュリティの前提条件を完了」で作成したバックアップ VM は、ディザスタ リカバリーの場合にのみ使用されるスタンバイ ホストであり、それまではシステムに登録されていません。 詳細については、「スタンバイデータセンターを使用した災害復旧」を参照してください。 |
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | OVA から新しい仮想マシンを作成し、「HDS ホスト OVA のインストール」の手順を繰り返します。 |
| 2 | 新しい仮想マシンで初期設定を行い、「ハイブリッド データ セキュリティ 仮想マシンのセットアップ」の手順を繰り返します。 |
| 3 | 新しい VM で、「Upload and Mount the HDS Configuration ISO」の手順を繰り返します。 |
| 4 | 展開のプロキシを設定する場合は、新しいノードに必要に応じ「プロキシ統合の HDS ノードを設定する」の手順を繰り返します。 |
| 5 | ノードを登録します。 ノードが登録されています。 トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成することに注意してください。
|
次に行うこと
プロダクション タスク フローへの試行
ハイブリッド データ セキュリティ クラスタをセットアップした後、パイロットを起動し、ユーザーを追加し、本番環境への移行に備えて展開のテストと検証に使用を開始できます。
| 1 | 必要に応じて、 組織でユーザーのディレクトリ同期を使用している場合は、 |
| 2 |
トライアルを開始します。 このタスクを実行するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
| 3 |
重要な要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
| 4 |
ステータスを確認し、アラームのメール通知を設定します。 |
| 5 | |
| 6 | 以下のいずれかの操作を行い、治験の段階を完了します。 |
トライアルの有効化
始める前に
組織でユーザーのディレクトリ同期を使用している場合は、 HdsTrialGroup 組織のトライアルを開始する前に、クラウドに同期するためのグループ オブジェクト。 手順については、 Cisco Directory Connector 展開ガイドを参照してください。
| 1 | https://admin.webex.comにサインインし、「サービス」を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[トライアルの開始] をクリックします。 サービス ステータスがトライアル モードに変わります。
|
| 4 | [ユーザーの追加] をクリックし、暗号化およびインデックスサービスのためにハイブリッド データ セキュリティ ノードを使用してパイロットする 1 人以上のユーザーのメール アドレスを入力します。 (組織がディレクトリ同期を使用している場合は、Active Directory を使用してトライアル グループを管理します。 |
ハイブリッド データ セキュリティ展開をテストする
始める前に
ハイブリッド データ セキュリティの展開をセットアップします。
トライアルを有効にし、複数のトライアル ユーザーを追加します。
キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認するために、syslog にアクセスできることを確認します。
| 1 | 特定のスペースのキーは、スペースの作成者によって設定されます。 パイロットユーザーの 1 人として Webex アプリにサインインし、スペースを作成し、少なくとも 1 人のパイロットユーザーと 1 人の非パイロットユーザーを招待します。
| ||
| 2 | 新しいスペースにメッセージを送信します。 | ||
| 3 | syslog 出力をチェックして、キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
ハイブリッド データ セキュリティの健全性を監視する
| 1 | Control Hubで、画面左側のメニューからサービスを選択します。 |
| 2 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[設定] をクリックします。 [ハイブリッド データ セキュリティ設定] ページが表示されます。
|
| 3 | [メール通知] セクションで、カンマで区切られた 1 つ以上のメールアドレスを入力し、[Enter] を押します。 |
トライアルからユーザーを追加または削除する
トライアルからユーザーを削除すると、ユーザーのクライアントは KMS ではなく、クラウド KMS からキーとキーの作成を要求します。 クライアントが KMS に保存されているキーを必要とする場合、クラウド KMS はユーザーに代わってキーを取得します。
組織がディレクトリ同期を使用している場合、Active Directory (この手順の代わりに) を使用してトライアル グループを管理します。 HdsTrialGroup; Control Hub でグループメンバーを表示できますが、追加または削除することはできません。
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] 領域の [トライアルモード（Trial Mode）] セクションで、[ユーザーの追加（Add Users）] をクリックするか、[表示と編集] をクリックしてユーザーをトライアルから削除します。 |
| 4 | 追加する 1 人以上のユーザーのメールアドレスを入力するか、ユーザー ID の X をクリックしてユーザーをトライアルから削除します。 その後、[保存] をクリックします。 |
トライアルからプロダクションへの移行
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[本番環境に移動] をクリックします。 |
| 4 | すべてのユーザーを本番環境に移行することを確認します。 |
本番環境に移行せずにトライアルを終了する
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | 「Deactivate（無効化）」セクションで「Deactivate（無効化）」をクリックします。 |
| 4 | サービスを無効にしてトライアルを終了することを確認します。 |
HDS 展開の管理
ここで説明するタスクを使用して、ハイブリッド データ セキュリティの展開を管理します。
クラスタアップグレードスケジュールの設定
アップグレードスケジュールを設定するには:
| 1 | Control Hub にサインインします。 |
| 2 | [概要] ページの [ハイブリッド サービス] で、[ハイブリッド データ セキュリティ] を選択します。 |
| 3 | [ハイブリッド データ セキュリティ リソース] ページで、クラスタを選択します。 |
| 4 | 右側の [概要] パネルの [クラスタ設定] で、クラスタ名を選択します。 |
| 5 | 設定ページのアップグレードの下で、アップグレードのスケジュール設定を希望する時間およびタイムゾーンを選択します。 メモ: タイムゾーンの下に、次に可能なアップグレードの日時が表示されます。 必要に応じて、[延期] をクリックすることでアップグレードを翌日に延期することもできます。 |
ノードの設定を変更する
有効期限が切れる、または他の理由による、x.509 証明書の変更。
証明書の CN ドメイン名の変更はサポートされていません。 ドメインは、クラスターを登録するために使用される元のドメインと一致する必要があります。
データベース設定を更新して、PostgreSQL または Microsoft SQL Server データベースのレプリカを変更します。
PostgreSQL から Microsoft SQL Server への、またはその逆へのデータ移行はサポートしていません。 データベース環境を切り替えるには、ハイブリッド データ セキュリティの新しい展開を開始します。
新しい構成を作成して新しいデータセンターの準備をする。
また、セキュリティ上の理由により、ハイブリッド データ セキュリティは 9 か月間使用可能なサービス アカウント パスワードを使用します。 HDS セットアップ ツールがこれらのパスワードを生成した後で、ISO 構成ファイルの各 HDS ノードに展開します。 組織のパスワードの有効期限切れが近い場合、Webex チームから「パスワード期限切れ通知」を受け取り、マシン アカウントのパスワードのリセットを求められます。 (メールにはテキスト「マシン アカウント API を使用してパスワードを更新します」を含みます。) パスワードの有効期限が切れるまで時間が十分にある場合、ツールには次の 2 つのオプションがあります:
ソフト リセット— 古いパスワードと新しいパスワードは最大 10 日間有効です。 この期間を使用して、ノードの ISO ファイルを段階的に置き換えることができます。
ハード リセット—古いパスワードは即時に機能を停止します。
パスワードをリセットせずに期限切れになる場合、HDS サービスに影響を与える可能性があります。すぐにハード リセットし、すべてのノードの ISO ファイルを置換する必要があります。
この手順を使用して、新しい構成 ISO ファイルを生成し、クラスターに適用します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、1.eで Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT新しい構成を生成するには、現在の構成 ISO ファイルのコピーが必要です。 ISO には PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーを含むです。 データベースの証明書、証明書の更新、認証方針への変更を含む、構成の変更を行った場合は ISO が必要です。
| 1 | ローカル マシンで Docker を使用し、HDS セットアップ ツールを実行します。
| ||||||
| 2 | を実行している HDS ノードが 1 個のみある場合、新しいノード VM を作成し、新しいハイブリッド データ セキュリティ ノード VM を作成し、新しい構成 ISO ファイルを使用してそれを登録します。 手順の詳細については、「追加のノードを作成して登録する」を参照してください。 | ||||||
| 3 | 古い構成ファイルを実行している既存の HDS ノードの場合、ISO ファイルをマウントします。 各ノードで以下の手順を実行し、次のノードをオフにする前に、各ノードを更新します。 | ||||||
| 4 | ステップ 3 を繰り返し、古い構成ファイルを実行している残りの各ノードで構成を置き換えます。 |
外部 DNS 解決ブロックモードをオフにする
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 ノードの DNS サーバーがパブリック DNS 名を解決できない場合、ノードは自動的に外部 DNS 解決ブロックモードに進みます。
ノードが内部 DNS サーバーを通してパブリック DNS 名を解決できる場合、各ノードでプロキシ接続テストを再実行することで、このモードをオフにすることができます。
始める前に
| 1 | Web ブラウザで、ハイブリッド データ セキュリティ ノード インターフェイス (IP アドレス/セットアップ、たとえば、ノードに設定した管理者資格情報をhttps://192.0.2.0/setup), 入力し、[サインイン] をクリックします。 |
| 2 | [概要] (デフォルトページ) に移動します。 有効になっている場合、 [外部 DNS 解決ブロック] は [はい] に設定されています。 |
| 3 | [信頼ストアとプロキシ] ページに移動します。 |
| 4 | [プロキシ接続を確認する] をクリックします。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しており、このモードに留まっています。 そうでない場合には、ノードを再起動して[概要] ページに戻ると、[外部 DNS 解決ブロック] は [いいえ] に設定されるはずです。 |
次に行うこと
ノードの削除
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインし、仮想マシンの電源を切ります。 |
| 2 | ノードを削除します。 |
| 3 | vSphere クライアントで、仮想マシンを削除します (左側のナビゲーションペインで、仮想マシンを右クリックし、[削除] をクリックします)。 仮想マシンを削除しない場合は、設定の ISO ファイルのマウントを解除することを忘れないでください。 ISO ファイルがないと、VM を使用してセキュリティ データにアクセスすることはできません。 |
スタンバイデータセンターを使用したディザスタ リカバリ
ハイブリッド データ セキュリティ クラスタが提供する最も重要なサービスは、Webex クラウドに保存されているメッセージやその他のコンテンツを暗号化するために使用されるキーの作成と保存です。 ハイブリッド データ セキュリティに割り当てられている組織内の各ユーザーについて、新しいキー作成要求がクラスタにルーティングされます。 また、クラスタは、作成したキーを、カンバセーションスペースのメンバーなど、取得を許可されたユーザーに返却する責任があります。
クラスタは、これらのキーを提供するという重要な機能を実行するため、クラスタが実行され、適切なバックアップが維持されることが不可欠です。 ハイブリッド データ セキュリティ データベースまたはスキーマに使用されている構成 ISO が失われると、顧客のコンテンツが回復不能に失われます。 このような損失を防ぐには、以下の慣行が必須です。
災害により、プライマリデータセンターの HDS 展開が使用できなくなる場合は、次の手順に従って、スタンバイデータセンターに手動でフェールオーバーします。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。 | ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加するか、
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
（オプション）HDS設定後にISOをアンマウントする
標準の HDS 構成は、ISO マウントで実行されます。 しかし、一部の顧客は、ISOファイルを継続的にマウントしたままにしないことを好みます。 すべての HDS ノードが新しい設定をピックアップした後、ISO ファイルのマウントを解除できます。
ISO ファイルを使用して、設定を変更します。 新しい ISO を作成するか、セットアップツールを使用して ISO を更新する場合は、更新された ISO をすべての HDS ノードにマウントする必要があります。 すべてのノードが設定変更をピックアップしたら、この手順で再び ISO のマウントを解除できます。
始める前に
すべての HDS ノードをバージョン 2021.01.22.4720 以降にアップグレードします。
| 1 | 1 つの HDS ノードをシャットダウンします。 |
| 2 | vCenter Server Appliance で、HDS ノードを選択します。 |
| 3 | を選択し、［データストアISOファイル］のチェックを外します。 |
| 4 | HDS ノードの電源を入れ、少なくとも 20 分間アラームがないことを確認します。 |
| 5 | HDS ノードごとに順番に繰り返します。 |
アラートとトラブルシューティングの表示
ハイブリッド データ セキュリティの展開は、クラスタ内のすべてのノードに到達できない場合、またはクラスタが非常にゆっくりと動作しているため、要求がタイムアウトした場合、利用できないと見なされます。 ユーザーがハイブリッド データ セキュリティ クラスタに到達できない場合、次の症状が発生します。
新しいスペースを作成できません (新しいキーを作成できません)
メッセージとスペース タイトルの復号に失敗する:
新規ユーザーがスペースに追加されました (キーを取得できません)
新しいクライアントを使用するスペース内の既存のユーザー (キーを取得できません)
スペース内の既存のユーザーは、クライアントが暗号化キーのキャッシュを持っている限り、正常に動作し続けます。
ハイブリッド データ セキュリティ クラスタを適切に監視し、サービスの中断を避けるために速やかにアラートに対処することが重要です。
警告
ハイブリッド データ セキュリティのセットアップに問題がある場合、Control Hub は組織管理者にアラートを表示し、設定されたメール アドレスにメールを送信します。 アラートは、多くの一般的なシナリオをカバーしています。
警告 | アクション |
|---|---|
ローカル データべースへのアクセスに失敗しました。 |
データベース エラーまたはローカル ネットワークの問題を確認します。 |
ローカルデータベース接続に失敗しました。 |
データベース サーバが使用可能であり、ノード設定で適切なサービス アカウント クレデンシャルが使用されていることを確認します。 |
クラウド サービスへのアクセスに失敗しました。 |
外部接続要件で指定されているように、ノードが Webex サーバーにアクセスできることを確認します。 |
クラウドサービス登録の更新。 |
クラウドサービスへの登録が削除されました。 登録の更新が進行中です。 |
クラウドサービスの登録が削除されました。 |
クラウドサービスへの登録が終了しました。 サービスが停止しています。 |
サービスはまだアクティベートされていません。 |
トライアルを有効にするか、トライアルを本番環境に移行します。 |
設定されたドメインがサーバー証明書と一致しません。 |
サーバー証明書が設定されたサービス アクティベーション ドメインと一致していることを確認します。 最も可能性の高い原因は、証明書 CN が最近変更され、初期設定で使用された CN とは異なるようになったためです。 |
クラウド サービスの認証に失敗しました。 |
サービスアカウントの資格情報の正確さと有効期限の可否を確認します。 |
ローカル キーストア ファイルを開くことができませんでした。 |
ローカル キーストア ファイルの整合性とパスワードの正確性を確認します。 |
ローカルサーバー証明書が無効です。 |
サーバ証明書の有効期限を確認し、信頼できる認証局によって発行されていることを確認します。 |
メトリクスを投稿できません。 |
外部クラウド サービスへのローカル ネットワーク アクセスを確認します。 |
/media/configdrive/hds ディレクトリが存在しません。 |
仮想ホストの ISO マウント設定を確認します。 ISO ファイルが存在すること、再起動時にマウントするように設定されていること、正常にマウントされていることを確認します。 |
ハイブリッド データ セキュリティのトラブルシューティング
| 1 | アラートについては Control Hub を確認し、見つかった項目を修正します。 |
| 2 | ハイブリッド データ セキュリティ展開からのアクティビティの syslog サーバー出力を確認します。 |
| 3 | Cisco サポート にお問い合わせください。 |
ハイブリッド データ セキュリティの既知の問題
ハイブリッド データ セキュリティ クラスタをシャットダウンする (Control Hub で削除するか、すべてのノードをシャットダウンする)、構成 ISO ファイルを失う、またはキーストア データベースへのアクセスを失う場合、Webex アプリのユーザーは、KMS のキーを使用して作成された [ユーザー] リストの下のスペースを使用できなくなります。 これは、トライアル展開と本番展開の両方に適用されます。 現在、この問題の回避策や修正はありません。HDS サービスがアクティブなユーザーアカウントを処理したら、HDS サービスをシャットダウンしないようにしてください。
KMS への既存の ECDH 接続を持つクライアントは、その接続を一定期間 (おそらく 1 時間) 維持します。 ユーザーがハイブリッド データ セキュリティ トライアルのメンバーになると、ユーザーのクライアントは、タイムアウトするまで既存の ECDH 接続を引き続き使用します。 代わりに、ユーザーは Webex アプリ アプリにサインアウトして再度ログインして、アプリが暗号化キーの連絡先を更新できます。
同じ動作は、組織のトライアルを本番環境に移行する場合にも発生します。 以前のデータ セキュリティ サービスへの既存の ECDH 接続を持つすべての非トライアル ユーザーは、ECDH 接続が再ネゴシエートされるまで (タイムアウトまたはサインアウトして戻る)、これらのサービスを使用し続けます。
OpenSSL を使用して PKCS12 ファイルを生成する
始める前に
OpenSSLは、HDSセットアップツールでロードするための適切な形式でPKCS12ファイルを作成するために使用できるツールの1つです。 これを行うには他の方法があり、私たちは別の方法よりも支持または促進しません。
OpenSSLを使用することを選択した場合は、X.509証明書要件を満たすファイルを作成するのに役立つガイドラインとして、この手順を提供しています。 X.509 証明書の要件は... 続行する前にこれらの要件を理解してください。
サポートされている環境で OpenSSL をインストールします。 ソフトウェアとマニュアルについてはhttps://www.openssl.orgを参照してください。
秘密鍵を作成します。
認証局（CA）からサーバ証明書を受け取ったら、この手順を開始します。
| 1 | CA からサーバー証明書を受け取ったら、次のように保存します。 |
| 2 | 証明書をテキストとして表示し、詳細を確認します。
|
| 3 | テキスト エディタを使用して、証明書バンドル ファイルを作成します。
|
| 4 | 親しみやすい名前で .p12 ファイルを作成する
|
| 5 | サーバ証明書の詳細を確認してください。 |
次に行うこと
「 ハイブリッド データ セキュリティの前提条件を満たす」に戻ります。 次を使用します: hdsnode.p12［HDSホストの設定ISOの作成］で設定したファイルとパスワード。
| これらのファイルを再使用して、元の証明書の有効期限が切れたときに新しい証明書を要求できます。 |
HDS ノードとクラウド間のトラフィック
アウトバウンドメトリック収集トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドに特定のメトリックを送信します。 これには、ヒープ最大、使用されるヒープ、CPU 負荷、およびスレッド数のシステムメトリクス、同期スレッドと非同期スレッドのメトリクス、暗号化接続のしきい値、遅延、またはリクエストキュー長を含むアラートのメトリクス、データストアのメトリクス、および暗号化接続メトリックが含まれます。 ノードは、（リクエストとは別に）帯域外チャネル上で暗号化されたキー素材を送信します。
着信トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドから次のタイプのインバウンド トラフィックを受信します。
暗号化サービスによってルーティングされるクライアントからの暗号化要求
ノード ソフトウェアへのアップグレード
ハイブリッド データ セキュリティの Squid プロキシを設定する
Websocket は Squid プロキシを通じて接続できません
Mサイズは箱入りとなります Sサイズは箱なしでのラッピングとなります ギフトボックス・ラッピングについて ＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿ wss:) ハイブリッド データ セキュリティが必要とする接続。 これらのセクションでは、無視するためにさまざまなバージョンの Squid を設定する方法について説明します。 wss: これは、サービスの適切な運用のためのトラフィックです。
Squid 4 および5
次を追加します: on_unsupported_protocol 指示する squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
次のルールが追加され、ハイブリッド データ セキュリティが正常にテストされました。 squid.conf です。 これらのルールは、機能を開発し、Webex クラウドを更新する際に変更されることがあります。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新規および変更された情報
日付 | 変更履歴 | ||
|---|---|---|---|
2023年10月20日。 |
| ||
2023年8月7日。 |
| ||
2023年5月23日。 |
| ||
2022 年 12 月 06 日 |
| ||
2022年11月23日。 |
| ||
2021 年 10 月 13 日 | HDS ノードをインストールする前に、Docker Desktop でセットアッププログラムを実行する必要があります。 Docker デスクトップの要件を参照してください。 | ||
2017 年 6 月 24 日 | 秘密鍵ファイルと CSR を再使用して別の証明書を要求できることに注意してください。 詳細については、「OpenSSL を使用して PKCS12 ファイルを生成する」を参照してください。 | ||
| 2021 年 4 月 30 日 | ローカル ハード ディスク スペースの VM 要件を 30 GB に変更しました。 詳細については、「仮想ホスト要件」を参照してください。 | ||
2021 年 2 月 24 日 | HDS セットアップ ツールは、プロキシの後ろで実行できるようになりました。 詳細については、「HDS ホストの設定 ISO を作成する」を参照してください。 | ||
2021 年 2 月 2 日 | HDS は、マウントされた ISO ファイルなしで実行できるようになりました。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。 | ||
2021年1月11日。 | HDSセットアップツールとプロキシに関する情報を追加し、HDSホストの設定ISOを作成しました。 | ||
2020/10/13 | インストールファイルのダウンロードを更新しました。 | ||
2020/10/08 | 更新HDSホスト用の構成ISOの作成およびFedRAMP環境のコマンドによるノード構成の変更。 | ||
2020 年 8 月 14 日 | サインイン プロセスの変更に伴い、「HDS ホストの構成 ISO を作成する」および「ノード構成を変更する」が更新されました。 | ||
2020年8月5日水曜日 | ログ メッセージの変更に関するハイブリッド データ セキュリティ展開のテストを更新しました。 ホストの最大数を削除する仮想ホスト要件を更新しました。 | ||
2020 年 6 月 16 日 | Control Hub UI の変更に関するノードの削除を更新しました。 | ||
2020 年 6 月 4 日 | 設定する詳細設定の変更に関するHDS ホストの設定 ISO の作成を更新しました。 | ||
2020 年 5 月 29 日 | SQL Serverデータベース、UI変更、およびその他の説明でTLSを使用できることを示すために、HDSホストの構成ISOを作成するを更新しました。 | ||
2020 年 5 月 5 日 | ESXi 6.5 の新しい要件を表示するために、仮想ホスト要件を更新しました。 | ||
2020 年 4 月 21 日 | 新しい Americas CI ホストとの外部接続要件が更新されました。 | ||
2020 年 4 月 1 日 | 地域 CI ホストに関する情報で外部接続要件が更新されました。 | ||
| 2020年2月20日水曜日 | HDSセットアップツールの新しいオプションの詳細設定画面に関する情報を記載したHDSホストの設定ISOを作成を更新しました。 | ||
| 2020年2月4日。 | プロキシサーバーの要件を更新しました。 | ||
| 2019年12月16日 | ブロックされた外部 DNS 解決モードがプロキシサーバーの要件で動作する要件を明確化しました。 | ||
| 2019 年 11 月 19 日 | 次のセクションで、ブロックされた外部 DNS 解決モードに関する情報を追加しました。 | ||
2019 年 11 月 8 日 | OVA を後で展開するのではなく、ノードのネットワーク設定を構成できるようになりました。 以下のセクションを適宜更新しました。
| ||
2019年9月6日水曜日 | データベースサーバーの要件にSQL Server Standardを追加しました。 | ||
| 2019 年 8 月 29 日 | 適切な動作のためにWebSocketトラフィックを無視するようにSquidプロキシを設定する方法についてのガイダンスが追加されました。Configure Squid Proxies for Hybrid Data Securityの付録が追加されました。 | ||
| 2019 年 8 月 20 日 | Webex クラウドへのハイブリッド データ セキュリティ ノード通信のプロキシ サポートをカバーするセクションを追加および更新しました。 既存の展開のプロキシ サポート コンテンツだけにアクセスするには、「ハイブリッド データ セキュリティと Webex ビデオ メッシュのプロキシ サポート」のヘルプ記事を参照してください。 | ||
| 2019年6月13日。 | トライアルから本番稼働タスク フローに更新し、 HdsTrialGroup 組織がディレクトリ同期を使用している場合、トライアルを開始する前にグループ オブジェクト。 | ||
| 2019年3月6日（火） |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018年11月5日。 |
| ||
| 2018年10月19日水曜日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018/05/21 | Cisco Spark のリブランディングを反映する用語の変更:
| ||
| 2018年4月11日。 |
| ||
| 2018年2月22日水曜日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017年11月2日。 |
| ||
2017年8月18日。 | 初公開。 |
ハイブリッド データ セキュリティの概要
初日から、Webex アプリの設計において、データ セキュリティが主な焦点となっています。 このセキュリティはエンドツーエンドのコンテンツ暗号化を基礎とし、 Webexアプリ クライアントがキー管理サービス (KMS) とやり取りすることで実現しました。 KMS はメッセージとファイルを動的に暗号化し、解読するためにクライアントが使用する暗号キーの作成と管理の責任を負っています。
デフォルトでは、すべての Webex アプリの顧客は、Cisco のセキュリティ領域にあるクラウド KMS に保存されている動的キーを使用して、エンドツーエンドの暗号化を取得します。 ハイブリッド データ セキュリティは、KMS とその他のセキュリティ関連の機能をあなたのエンタープライズ データ センターに移動するため、誰でもなくあなたが暗号化コンテンツの鍵を持っています。
セキュリティRealmアーキテクチャ
Webex クラウド アーキテクチャは、以下に示すように、さまざまなタイプのサービスを別々の領域、または信頼ドメインに分離します。
ハイブリッド データ セキュリティをさらに理解するには、まず、シスコがクラウド レルムですべての機能を提供しているこの純粋なクラウド ケースを見てみましょう。 メールアドレスなどの個人情報とユーザーが直接相関できる唯一の場所であるアイデンティティサービスは、データセンターBのセキュリティ領域と論理的かつ物理的に分離されています。
この図では、クライアントはユーザーのラップトップで実行されている Webex アプリであり、ID サービスで認証されています。 ユーザがスペースに送信するメッセージを作成すると、次の手順が実行されます。
クライアントは、キー管理サービス（KMS）とのセキュアな接続を確立し、メッセージを暗号化するためのキーを要求します。 安全な接続は ECDH を使用し、KMS は AES-256 マスター キーを使用してキーを暗号化します。
メッセージはクライアントを離れる前に暗号化されます。 クライアントはインデックスをインデックスサービスに送信します。これにより、暗号化された検索インデックスが作成され、今後のコンテンツの検索に役立ちます。
暗号化されたメッセージは、コンプライアンス チェックのためにコンプライアンス サービスに送信されます。
暗号化されたメッセージはストレージ領域に保存されます。
ハイブリッド データ セキュリティを展開すると、セキュリティ レルム機能 (KMS、インデックス、コンプライアンス) をオンプレミスのデータセンターに移動します。 Webex を構成する他のクラウド サービス (ID とコンテンツ ストレージを含む) は、シスコの領域に残ります。
他の組織との連携
組織内のユーザーは、Webex アプリを定期的に使用して、他の組織の外部参加者とコラボレーションできます。 ユーザーの 1 人が組織によって所有されているスペースのキーを要求すると（ユーザーの 1 人が作成したため）、KMS は ECDH 保護されたチャネルを介してキーをクライアントに送信します。 ただし、別の組織がスペースのキーを所有している場合、KMS は別の ECDH チャネルを介してリクエストを WEBEX クラウドにルーティングして、適切な KMS からキーを取得し、元のチャネルのユーザーにキーを返します。
組織 A で実行されている KMS サービスは、x.509 PKI 証明書を使用して他の組織の KMS への接続を検証します。 ハイブリッド データ セキュリティの展開で使用する x.509 証明書の生成の詳細については、「環境の準備」を参照してください。
ハイブリッド データ セキュリティの展開への期待
ハイブリッド データ セキュリティの展開には、重要な顧客のコミットメントと、暗号化キーの所有に伴うリスクの認識が必要です。
ハイブリッド データ セキュリティを展開するには、以下を提供する必要があります。
Cisco Webex Teams プランで サポートされている国の安全なデータセンター。
環境の準備で説明する装置、ソフトウェア、およびネットワークアクセス。
ハイブリッド データ セキュリティ用に構築する構成 ISO または提供されたデータベースのいずれかを完全に失うと、キーが失われます。 キー損失は、ユーザーが Webex アプリでスペース コンテンツやその他の暗号化されたデータを復号することを防ぎます。 この場合、新しい展開を構築できますが、新しいコンテンツのみが表示されます。 データへのアクセスの損失を避けるには、以下を行う必要があります。
データベースのバックアップとリカバリ、および構成ISOを管理します。
データベースのディスク障害やデータセンター障害などの大災害が発生した場合、迅速な災害復旧を実行する準備をしてください。
| HDS 導入後にキーをクラウドに戻すメカニズムはありません。 |
高レベルのセットアッププロセス
このドキュメントでは、ハイブリッド データ セキュリティ展開のセットアップと管理について説明します。
ハイブリッド データ セキュリティのセットアップ—これには、必要なインフラストラクチャの準備とハイブリッド データ セキュリティ ソフトウェアのインストール、トライアル モードでのユーザーのサブセットを使用した展開のテスト、テストが完了すると本番環境に移行することが含まれます。 これにより、組織全体がセキュリティ機能にハイブリッド データ セキュリティ クラスタを使用できるようになります。
セットアップ、トライアル、および生産の各段階は、次の3つの章で詳しく説明されています。
ハイブリッド データ セキュリティの展開を維持する—Webex クラウドは自動的に継続的なアップグレードを提供します。 IT 部門は、この展開に対してティア 1 のサポートを提供し、必要に応じてシスコのサポートを引き受けることができます。 画面上の通知を使用し、Control Hub でメールベースのアラートを設定できます。
一般的なアラート、トラブルシューティング手順、および既知の問題について理解する—ハイブリッド データ セキュリティの展開または使用で問題が発生した場合、このガイドの最後の章と既知の問題の付録は、問題を決定および修正するのに役立ちます。
ハイブリッド データ セキュリティ展開モデル
エンタープライズ データ センターでは、ハイブリッド データ セキュリティを個別の仮想ホスト上のノードの単一のクラスタとして展開します。 ノードは、セキュアなウェブソケットとセキュアな HTTP を通じて Webex クラウドと通信します。
インストールプロセス中に、提供するVM上の仮想アプライアンスを設定するためのOVAファイルを提供します。 HDS セットアップ ツールを使用して、各ノードにマウントするカスタム クラスタ構成 ISO ファイルを作成します。 ハイブリッド データ セキュリティ クラスタは、提供された Syslogd サーバーと PostgreSQL または Microsoft SQL Server データベースを使用します。 (HDS セットアップツールで Syslogd とデータベース接続の詳細を設定します。)
クラスタに持つことができるノードの最小数は 2 です。 私たちは少なくとも3つをお勧めします、そしてあなたは最大5つを持つことができます。 複数のノードを持つことにより、ノードのソフトウェアアップグレードやその他のメンテナンス作業中にサービスが中断されないようにします。（Webex クラウドは一度に 1 つのノードのみをアップグレードします。）
クラスタ内のすべてのノードが同じキーデータストアにアクセスし、同じ syslog サーバにアクティビティをログします。 ノード自体はステートレスであり、クラウドの指示に従って、ラウンドロビン方式で重要な要求を処理します。
ノードは、Control Hub に登録するとアクティブになります。 個々のノードをサービスから削除するには、登録を解除し、必要に応じて後で再登録できます。
組織ごとに 1 つのクラスタのみをサポートします。
ハイブリッド データ セキュリティ トライアル モード
ハイブリッド データ セキュリティの展開をセットアップした後、最初にパイロット ユーザーのセットで試してください。 トライアル期間中、これらのユーザーは暗号化キーやその他のセキュリティ領域サービスにオンプレミスのハイブリッド データ セキュリティ ドメインを使用します。 他のユーザーは引き続きクラウド セキュリティ レルムを使用します。
トライアル中に展開を続行せず、サービスを無効にすると、パイロットユーザーとトライアル期間中に新しいスペースを作成して対話したユーザーは、メッセージとコンテンツへのアクセス権を失います。 Webex アプリに「このメッセージは復号化できません」と表示されます。
導入がトライアル ユーザーに対してうまく機能しており、ハイブリッド データ セキュリティをすべてのユーザーに拡張する準備ができている場合は、導入を本番環境に移行します。 パイロットのユーザーは、トライアル中に使用されたキーにアクセスできます。 ただし、プロダクションモードと元のトライアルを行ったり来たりすることはできません。 ディザスタ リカバリを実行するなど、サービスを非アクティブ化する必要がある場合は、再アクティブ化時に新しいトライアルを開始し、新しいトライアルのパイロット ユーザーのセットを設定してから、プロダクション モードに戻す必要があります。 ユーザがこの時点でデータへのアクセスを保持するかどうかは、クラスタ内のハイブリッド データ セキュリティ ノードのキー データ ストアと ISO 構成ファイルのバックアップを正常に維持したかどうかに依存します。
災害復旧のためのスタンバイデータセンター
展開中に、セキュアなスタンバイデータセンターを設定します。 データセンターに障害が発生した場合、スタンバイデータセンターへの展開を手動で失敗させることができます。
アクティブ データ センターとスタンバイ データ センターのデータベースが相互に同期されているため、フェールオーバーを実行するのにかかる時間が最小限に抑えられます。 スタンバイデータセンターの ISO ファイルは、ノードが組織に登録されていることを確認する追加の構成で更新されますが、トラフィックは処理されません。 したがって、スタンバイデータセンターのノードは、常に最新バージョンのHDSソフトウェアで最新の状態に保たれます。
| アクティブなハイブリッド データ セキュリティ ノードは、常にアクティブなデータベース サーバと同じデータセンターにある必要があります。 |
災害復旧のためのスタンバイデータセンターを設定
スタンバイデータセンターの ISO ファイルを設定するには、以下の手順に従います。
始める前に
スタンバイデータセンターは、VMとバックアップPostgreSQLまたはMicrosoft SQL Serverデータベースの生産環境をミラーリングする必要があります。 たとえば、本番環境に HDS ノードを実行する 3 台の仮想マシンがある場合、バックアップ環境には 3 台の仮想マシンが必要です (このフェールオーバーモデルの概要については、「Standby Data Center for Disaster Recovery」を参照してください)。
アクティブクラスタノードとパッシブクラスタノードのデータベース間でデータベース同期が有効になっていることを確認します。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。
| ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加して、ノードをパッシブモードにします。 このモードでは、ノードは組織に登録され、クラウドに接続されますが、トラフィックは処理されません。
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
設定後 passiveMode ISOファイルに保存すると、ISOファイルの別のコピーを作成できます。 passiveMode 設定し、安全な場所に保存します。 このISOファイルのコピー passiveMode 設定すると、ディザスタ リカバリ中の迅速なフェールオーバー プロセスに役立ちます。 詳細なフェールオーバー手順については、「 スタンバイデータセンターを使用したディザスタ リカバリ」を参照してください。
プロキシサポート
ハイブリッド データ セキュリティは、明示的な透過的な検査および非検査プロキシをサポートします。 これらのプロキシを展開に関連付けることができます。これにより、エンタープライズからクラウドに送信されるトラフィックをセキュリティ保護し、監視することができます。 証明書の管理のノードでプラットフォーム管理インターフェイスを使用して、ノードでプロキシを設定した後で、全体的な接続ステータスを確認することができます。
ハイブリッド データ セキュリティ ノードは、以下のプロキシ オプションをサポートしています。
プロキシなし—プロキシを統合するために、HDS ノード セットアップの信頼ストアとプロキシ設定を使用しない場合は、デフォルトになります。 証明書の更新は必要ありません。
透過型の検査なしのプロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていないため、検査なしのプロキシで動作するように変更を加える必要はありません。 証明書の更新は必要ありません。
透過トンネリングまたは検査プロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。 ノードでは、HTTP または HTTPS の設定変更は必要ありません。 ただし、ノードはプロキシを信頼するためにルート証明書を必要とします。 プロキシを検査することで、Web サイトにアクセスするか、どのタイプのコンテンツを使用するかを強制するポリシーを施行することができます。 このタイプのプロキシは、すべてのトラフィック (HTTPS さえも含む) を復号化します。
明示的プロキシ—明示的なプロキシを使用して、使用するプロキシ サーバーと認証スキームを指定します。 明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
プロキシ IP/FQDN—プロキシ マシンに到達するために使用できるアドレス。
プロキシ ポート-プロキシがプロキシ トラフィックをリスンするために使用するポート番号。
プロキシ プロトコル-プロキシ サーバーがサポートするものに応じて、次のいずれかのプロトコルを選択します。
HTTP—クライアントが送信するすべての要求を表示し、コントロールします。
HTTPS—サーバーにチャネルを提供します。 クライアントがサーバーの証明書を受け取り、検証します。
認証タイプ-次の認証タイプから選択します。
なし—追加の認証は必要ありません。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
ベーシック—HTTP ユーザー エージェントがリクエストを行う際にユーザー名とパスワードを指定するために使用されます。 Base64 エンコードを使用します。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ダイジェスト—機密情報を送信する前にアカウントを確認するために使用されます。 ネットワークを経由して送信する前に、ユーザー名およびパスワードにハッシュ機能を適用します。
プロキシ プロトコルとして HTTPS を選択した場合にのみ利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ハイブリッド データ セキュリティ ノードとプロキシの例
この図は、ハイブリッド データ セキュリティ、ネットワーク、およびプロキシ間の接続例を示しています。 透過的な検査および HTTPS 明示的な検査プロキシ オプションの場合、同じルート証明書がプロキシとハイブリッド データ セキュリティ ノードにインストールされている必要があります。
外部 DNS 解決ブロックモード (明示的プロキシ構成)
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 内部クライアントのための外部 DNS 解決が許可されていない、明示的なプロキシ構成の展開では、ノードが DNS サーバーに問い合わせができない場合、自動的に外部 DNS 解決ブロックモードに切り替わります。 このモードでは、ノード登録および他のプロキシ接続テストを続行することができます。
ハイブリッド データ セキュリティの要件
Cisco Webex ライセンス要件
ハイブリッド データ セキュリティを展開するには:
Cisco Webex Control Hub 用の Pro Pack が必要です (https://www.cisco.com/go/pro-pack を参照してください)。
Docker デスクトップの要件
HDS ノードをインストールする前に、セットアッププログラムを実行するには Docker Desktop が必要です。 Dockerは最近、ライセンスモデルを更新しました。 あなたの組織は、Docker デスクトップの有料サブスクリプションを必要としている場合があります。 詳細については、Docker ブログ投稿次を参照してください。 Docker は製品のサブスクリプションを更新し、延長しています」に置き換えることで、URL が有効かどうかを検証できます。
X.509 証明書の要件
証明書チェーンは、次の要件を満たしている必要があります。
要件 | の詳細 |
|---|---|
| デフォルトでは、https://wiki.mozilla.org/CA:IncludedCAsでMozillaリスト（WoSignとStartComを除く）のCAを信頼しています。 |
| CN に到達可能またはライブホストである必要はありません。 組織を反映する名前を使用することを推奨します。たとえば、 CN に * (ワイルドカード) を含めることはできません。 CN は、Webex アプリ クライアントへのハイブリッド データ セキュリティ ノードを確認するために使用されます。 クラスタ内のすべてのハイブリッド データ セキュリティ ノードが同じ証明書を使用します。 KMS は、x.509v3 SAN フィールドで定義されているドメインではなく、CN ドメインを使用して自身を識別します。 この証明書でノードを登録すると、CN ドメイン名の変更はサポートされません。 トライアル展開と本番展開の両方に適用できるドメインを選択します。 |
| KMS ソフトウェアは、他の組織の KMS への接続を検証するための SHA1 署名をサポートしていません。 |
| OpenSSL などのコンバータを使用して、証明書の形式を変更できます。 HDSセットアップツールを実行するときは、パスワードを入力する必要があります。 |
KMS ソフトウェアは、キーの使用や拡張キーの使用制限を強制しません。 一部の証明機関では、サーバ認証など、各証明書に拡張されたキーの使用制限を適用する必要があります。 サーバー認証やその他の設定を使用してもかまいません。
仮想ホストの要件
クラスタ内のハイブリッド データ セキュリティ ノードとして設定する仮想ホストには、次の要件があります。
同じセキュア データ センターでコロケーションされた少なくとも 2 つの別のホスト (3 つの推奨)
VMware ESXi 6.5 (またはそれ以降) がインストールされ、実行されています。
以前のバージョンの ESXi がある場合は、アップグレードする必要があります。
最低4vCPU、8GBメインメモリ、サーバーあたり30GBのローカルハードディスク容量
データベースサーバーの要件
| キーストレージ用の新しいデータベースを作成します。 デフォルトのデータベースを使用しないでください。 HDS アプリケーションをインストールすると、データベース スキーマが作成されます。 |
データベースサーバーには2つのオプションがあります。 各要件は以下のとおりです。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） | ||
|---|---|---|---|
|
| ||
最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） | 最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） |
HDS ソフトウェアは現在、データベース サーバとの通信用に次のドライバ バージョンをインストールしています。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） |
|---|---|
Postgres JDBCドライバ 42.2.5 | SQL Server JDBC ドライバ 4.6 このドライババージョンは、SQL Server Always On（Always On Failover Cluster InstancesおよびAlways On availability groups）をサポートしています。 |
Microsoft SQL Server に対する Windows 認証の追加要件
HDS ノードが Windows 認証を使用して Microsoft SQL Server のキーストア データベースにアクセスできるようにするには、環境内で次の設定が必要です。
HDS ノード、Active Directory インフラストラクチャ、MS SQL Server はすべて NTP と同期する必要があります。
HDS ノードに提供する Windows アカウントは、データベースへの読み取り/書き込みアクセス権を持っている必要があります。
HDS ノードに提供する DNS サーバは、キー配布センター (KDC) を解決できる必要があります。
Microsoft SQL Server に HDS データベース インスタンスをサービス プリンシパル名 (SPN) として Active Directory に登録できます。 詳細は、Kerberos Connections のサービス プリンシパル名を登録するを参照してください。
HDS セットアップツール、HDS ランチャー、およびローカル KMS はすべて、キーストアデータベースにアクセスするために Windows 認証を使用する必要があります。 Kerberos 認証でアクセスを要求するときに、ISO 設定の詳細を使用して SPN を構築します。
外部接続の要件
HDS アプリケーションに次の接続を許可するようにファイアウォールを設定します。
アプリケーション | プロトコル | ポート | アプリからの方向 | 移動先 |
|---|---|---|---|---|
ハイブリッド データ セキュリティ ノード | TCP | 443 | アウトバウンド HTTPS および WSS |
|
HDS 設定ツール | TCP | 443 | アウトバウンド HTTPS |
|
| ハイブリッド データ セキュリティ ノードは、ネットワークアクセス変換（NAT）またはファイアウォールの後ろで動作します。ただし、NAT またはファイアウォールが前の表のドメイン宛先への必要な発信接続を許可している場合に限ります。 ハイブリッド データ セキュリティ ノードにインバウンドする接続の場合、インターネットからポートを表示することはできません。 データセンター内では、管理目的で、クライアントは TCP ポート 443 および 22 のハイブリッド データ セキュリティ ノードにアクセスする必要があります。 |
Common Identity (CI) ホストの URL は地域固有です。 これらは現在の CI ホストです。
地域 | 共通 ID ホスト URL |
|---|---|
Americas (北米、中南米エリア) |
|
欧州連合 |
|
カナダ |
|
プロキシ サーバーの要件
お使いのハイブリッド データ セキュリティ ノードと統合できる次のプロキシ ソリューションを正式にサポートしています。
透過的プロキシ—Cisco Web Security Appliance (WSA)。
明示的プロキシ—Squid。
HTTPS トラフィックを検査する Squid プロキシは、websocket (wss:) 接続の確立に干渉することができます。 接続の確立に干渉することができます。 この問題を回避するには、「ハイブリッド データ セキュリティ用の Squid プロキシの設定」を参照してください。
明示的プロキシに対して次の認証タイプの組み合わせがサポートされています。
HTTP または HTTPS による認証がありません
HTTP または HTTPS による基本認証
HTTPS のみによるダイジェスト認証
透過的検査プロキシまたは HTTPS 明示的プロキシについては、プロキシのルート証明書のコピーが必要です。 このガイドに記載されている展開手順は、ハイブリッド データ セキュリティ ノードの信頼ストアにコピーをアップロードする方法を説明しています。
HDS ノードをホストするネットワークは、ポート 443 のアウトバウンド TCP トラフィックを強制的にプロキシ経由でルーティングするように設定されている必要があります。
Web トラフィックを検査するプロキシは、Web ソケット接続に干渉する場合があります。 この問題が発生した場合、トラフィックをバイパス（検査しない）して
wbx2.comおよびciscospark.com問題を解決します。
ハイブリッド データ セキュリティの前提条件を完了する
| 1 | Webex 組織が Pro Pack for Cisco Webex Control Hub に対して有効になっていることを確認し、完全な組織管理者権限を持つアカウントの資格情報を取得します。 このプロセスについては、Cisco パートナーまたはアカウント マネージャーにお問い合わせください。 | ||
| 2 | HDS 展開のドメイン名を選択します (たとえば、 | ||
| 3 | クラスタ内のハイブリッド データ セキュリティ ノードとして設定する同一の仮想ホストを準備します。 仮想ホスト要件の要件を満たす同じセキュアデータセンターにコロケーションされた少なくとも2つの個別のホスト（3つの推奨）が必要です。 | ||
| 4 | データベースサーバーの要件に従って、クラスタのキーデータストアとして機能するデータベースサーバーを準備します。 データベースサーバーは、仮想ホストと安全なデータセンターでコロケーションする必要があります。 | ||
| 5 | 迅速な災害復旧のために、別のデータセンターにバックアップ環境を設定します。 バックアップ環境は、VMとバックアップデータベースサーバの生成環境をミラーリングします。 たとえば、本番環境に HDS ノードを実行する 3 つの仮想マシンがある場合、バックアップ環境には 3 つの VM が必要です。 | ||
| 6 | syslog ホストをセットアップして、クラスタ内のノードからログを収集します。 ネットワーク アドレスと syslog ポートを収集します（デフォルトは UDP 514）。 | ||
| 7 | ハイブリッド データ セキュリティ ノード、データベース サーバ、および syslog ホスト用のセキュア バックアップ ポリシーを作成します。 少なくとも、回復不能なデータの損失を防ぐには、ハイブリッド データ セキュリティ ノード用に生成されたデータベースと構成 ISO ファイルをバックアップする必要があります。
Webex アプリ クライアントはキーをキャッシュするため、停止がすぐに目立つことはありませんが、時間の経過とともに明らかになります。 一時的な停止を防ぐことは不可能ですが、それらは回復可能です。 ただし、データベースまたは構成のISOファイルの完全な損失(利用可能なバックアップはありません)は、回復不能な顧客データになります。 ハイブリッド データ セキュリティ ノードのオペレータは、データベースと構成 ISO ファイルの頻繁なバックアップを維持し、壊滅的な障害が発生した場合にハイブリッド データ セキュリティ データ センターを再構築する準備をする必要があります。 | ||
| 8 | ファイアウォール構成により、外部接続要件で説明されているように、ハイブリッド データ セキュリティ ノードの接続が許可されていることを確認してください。 | ||
| 9 | サポートされているOS（Microsoft Windows 10 ProfessionalまたはEnterprise 64ビット、またはMac OSX Yosemite 10.10.3以降）を実行しているローカルマシンにDocker（https://www.docker.com）をインストールし、次の場所からアクセスできます。 http://127.0.0.1:8080. Docker インスタンスを使用して、すべてのハイブリッド データ セキュリティ ノードのローカル設定情報を構築する HDS セットアップ ツールをダウンロードして実行します。 組織には Docker Desktop ライセンスが必要になる場合があります。 詳細については、「Docker デスクトップの要件」を参照してください。 HDSセットアップツールをインストールして実行するには、ローカルマシンに外部接続要件に記載されている接続性が必要です。 | ||
| 10 | プロキシとハイブリッド データ セキュリティを統合する場合は、プロキシ サーバーの要件を満たしていることを確認してください。 | ||
| 11 | 組織でディレクトリ同期を使用している場合は、Active Directory でグループを作成します。
|
ハイブリッド データ セキュリティ展開タスク フロー
始める前に
| 1 |
後で使用するために、OVA ファイルをローカル マシンにダウンロードします。 | ||
| 2 |
HDS セットアップ ツールを使用して、ハイブリッド データ セキュリティ ノードの ISO 設定ファイルを作成します。 | ||
| 3 |
OVA ファイルから仮想マシンを作成し、ネットワーク設定などの初期設定を実行します。
| ||
| 4 |
VM コンソールにサインインし、サインイン資格情報を設定します。 OVA 展開時にノードを設定しなかった場合は、ノードのネットワーク設定を構成します。 | ||
| 5 |
HDS セットアップ ツールを使用して作成した ISO 設定ファイルから VM を設定します。 | ||
| 6 |
ネットワーク環境にプロキシ設定が必要な場合は、ノードに使用するプロキシのタイプを指定し、必要に応じてプロキシ証明書を信頼ストアに追加します。 | ||
| 7 |
ハイブリッド データ セキュリティ ノードとして Cisco Webex クラウドに仮想マシンを登録します。 | ||
| 8 |
クラスタの設定を完了します。 | ||
| 9 | トライアルを実行して本番環境に移動 (次の章) トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
インストールファイルのダウンロード
| 1 | https://admin.webex.comにサインインし、「サービス」をクリックします。 | ||||
| 2 | [ハイブリッド サービス] セクションで、ハイブリッド データ セキュリティ カードを見つけて、[セットアップ] をクリックします。 カードが無効になっているか、表示されない場合は、アカウントチームまたはパートナー組織に連絡してください。 アカウント番号を入力し、組織でハイブリッド データ セキュリティを有効にするように依頼します。 アカウント番号を見つけるには、組織名の横にある右上の歯車をクリックします。
| ||||
| 3 | ノードがまだセットアップされていないことを示すにはいいえを選択し、「次へ」をクリックします。 OVAファイルは自動的にダウンロードを開始します。 ファイルをマシン上の場所に保存します。
| ||||
| 4 | 必要に応じて、［導入ガイドを開く］をクリックして、このガイドの後半バージョンが利用可能かどうかを確認します。 |
HDS ホストの設定 ISO を作成する
ハイブリッド データ セキュリティのセットアップ プロセスは、ISO ファイルを作成します。 その後、ISO を使用してハイブリッド データ セキュリティ ホストを設定します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、手順 5 で Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT生成する構成 ISO ファイルには、PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーが含まれています。 次のように、設定を変更するたびに、このファイルの最新のコピーが必要です。
データベースの資格情報
証明書の更新
承認ポリシーの変更
データベース接続を暗号化する場合は、TLS 用の PostgreSQL または SQL Server 展開をセットアップします。
| 1 | マシンのコマンド ラインで、お使い環境に適切なコマンドを入力します。 一般環境: FedRAMP 環境の場合:
| ||||||||||||
| 2 | Docker 画像レジストリにサインインするには、以下を入力します。 | ||||||||||||
| 3 | パスワードのプロンプトに対して、このハッシュを入力します。 | ||||||||||||
| 4 | お使い環境に合った最新の安定した画像をダウンロードします。 一般環境: FedRAMP 環境の場合: | ||||||||||||
| 5 | プルが完了したら、お使いの環境に適切なコマンドを入力します。
コンテナが実行中の時。「ポート 8080 で Express サーバー リスニング中」と表示されます。 | ||||||||||||
| 6 |
Web ブラウザを使用して localhost に移動し、 このツールは、ユーザー名の最初のエントリを使用して、そのアカウントの適切な環境を設定します。 このツールには、標準のサインインプロンプトが表示されます。 | ||||||||||||
| 7 | プロンプトが表示されたら、Control Hub の顧客管理者のサインイン資格情報を入力し、[ログイン] をクリックして、ハイブリッド データ セキュリティに必要なサービスへのアクセスを許可します。 | ||||||||||||
| 8 | [セットアップツールの概要] ページで、[はじめに] をクリックします。 | ||||||||||||
| 9 | ［ISOインポート］ページには、次のオプションがあります。
| ||||||||||||
| 10 | X.509 証明書がX.509 証明書要件の要件を満たしていることを確認してください。
| ||||||||||||
| 11 | HDS のデータベース アドレスとアカウントを入力して、キー データストアにアクセスします。 | ||||||||||||
| 12 | TLS データベース接続モードを選択します。
ルート証明書をアップロードし（必要に応じて）、［続行］をクリックすると、HDS Setup Tool がデータベース サーバへの TLS 接続をテストします。 また、必要に応じて、証明書の署名者とホスト名も検証されます。 テストが失敗した場合、問題を説明するエラー メッセージがツールによって表示されます。 エラーを無視してセットアップを続行するかどうかを選択できます。 （接続性の違いにより、HDS Setup Tool マシンが正常にテストできない場合でも、HDS ノードは TLS 接続を確立できる場合があります）。 | ||||||||||||
| 13 | [システムログ（System Logs）] ページで、Syslogd サーバを設定します。 | ||||||||||||
| 14 | （オプション）一部のデータベース接続パラメータのデフォルト値は、［詳細設定］で変更できます。 通常、このパラメータは、変更する可能性のある唯一のパラメータです。 | ||||||||||||
| 15 | [サービスアカウントのパスワードをリセット] 画面の [続行] をクリックします。 サービスアカウントのパスワードは9ヶ月の寿命を持っています。 パスワードの有効期限が近づいている場合、または以前の ISO ファイルを無効にするためにパスワードをリセットする場合は、この画面を使用します。 | ||||||||||||
| 16 | [ISOファイルのダウンロード] をクリックします。 見つけやすい場所にファイルを保存します。 | ||||||||||||
| 17 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||||||||||||
| 18 | セットアップ ツールをシャットダウンするために次のように入力します。 |
次に行うこと
設定 ISO ファイルをバックアップします。 リカバリのためにより多くのノードを作成したり、設定を変更したりする必要があります。 ISOファイルのコピーをすべて失うと、マスターキーも失われます。 PostgreSQL または Microsoft SQL Server データベースからキーを回復することはできません。
| 私たちはこのキーのコピーを持っていないし、あなたがそれを失ったら助けることができません。 |
HDS ホスト OVA のインストール
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインします。 | ||||||
| 2 | ファイル > OVF テンプレートを展開を選択します。 | ||||||
| 3 | ウィザードで、先ほどダウンロードしたOVAファイルの場所を指定し、 をクリックします。 次へだ | ||||||
| 4 | の 名前とフォルダを選択ページ、を入力します 仮想マシン名ノード（たとえば、「HDS_Node_1」）で、仮想マシンノードの展開が可能な場所を選択し、次へだ | ||||||
| 5 | の 計算リソースを選択ページで、宛先計算リソースを選択し、をクリックします。 次へだ 検証チェックが実行されます。 完了すると、テンプレートの詳細が表示されます。 | ||||||
| 6 | テンプレートの詳細を確認し、［次へ］をクリックします。 | ||||||
| 7 | のリソース設定を選択するよう求められた場合 設定ページ、をクリックします。 4 CPU をクリックし、 をクリックします。 次へだ | ||||||
| 8 | の ストレージを選択ページ、をクリックします。 次へは、デフォルトのディスク形式とVMストレージポリシーを受け入れます。 | ||||||
| 9 | の ネットワークを選択ページで、エントリのリストからネットワークオプションを選択し、仮想マシンへの接続を提供します。 | ||||||
| 10 | [テンプレートのカスタマイズ] ページで、次のネットワーク設定を構成します。
必要に応じて、ネットワーク設定の構成をスキップし、[ハイブリッド データ セキュリティ VM のセットアップ] の手順に従って、ノード コンソールから設定を構成できます。
| ||||||
| 11 | ノードVMを右クリックし、だ。 ハイブリッド データ セキュリティ ソフトウェアは、VM ホストにゲストとしてインストールされます。 これで、コンソールにサインインしてノードを設定する準備ができました。 トラブルシューティングのヒント ノード コンテナーが出てくるまでに、数分間の遅延がある場合があります。 初回起動の間、ブリッジ ファイアウォール メッセージが、コンソールに表示され、この間はサイン インできません。 |
ハイブリッド データ セキュリティ VM のセットアップ
この手順を使用して、ハイブリッド データ セキュリティ ノード VM コンソールに初めてサインインし、サインイン クレデンシャルを設定します。 OVA 展開時に設定しなかった場合は、コンソールを使用してノードのネットワーク設定を構成することもできます。
| 1 | VMware vSphere クライアントで、ハイブリッド データ セキュリティ ノード VM を選択し、[コンソール] タブを選択します。 VM が起動し、ログインプロンプトが表示されます。 ログインプロンプトが表示されない場合は、 入力を押してください。
|
| 2 | 次のデフォルトのログインとパスワードを使用してサインインし、資格情報を変更します。 初めて仮想マシンにサインインするため、管理者パスワードを変更する必要があります。 |
| 3 | ［HDS ホスト OVA のインストール］でネットワーク設定をすでに設定している場合は、残りの手順をスキップします。 それ以外の場合は、メインメニューで［設定の編集］オプションを選択します。 |
| 4 | IP アドレス、マスク、ゲートウェイ、DNS 情報を含む静的設定をセットアップします。 ノードには内部 IP アドレスと DNS 名が必要です。 DHCP はサポートされていません。 |
| 5 | (オプション) ネットワーク ポリシーと一致する必要がある場合は、ホスト名、ドメイン、または NTP サーバを変更します。 X.509 証明書を取得するために使用したドメインと一致するようにドメインを設定する必要はありません。 |
| 6 | ネットワーク設定を保存し、仮想マシンを再起動して、変更を有効にします。 |
HDS 設定 ISO のアップロードとマウント
始める前に
ISOファイルはマスターキーを保持しているため、Hybrid Data Security VMおよび変更が必要な管理者によるアクセスのために、「知る必要性」に基づいてのみ公開する必要があります。 これらの管理者だけがデータストアにアクセスできることを確認してください。
| 1 | コンピュータから ISO ファイルをアップロードします。 |
| 2 | ISO ファイルをマウントします。 |
次に行うこと
IT ポリシーが必要な場合は、すべてのノードが設定変更をピックアップした後、オプションで ISO ファイルのマウントを解除できます。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。
プロキシ統合のために HDS ノードを設定する
ネットワーク環境でプロキシが必要な場合は、この手順を使用して、ハイブリッド データ セキュリティと統合するプロキシのタイプを指定します。 透過型のプロキシまたは HTTPS を明示的なプロキシを選択した場合、ノードのインターフェイスを使用してルート証明書をアップロードしてインストールすることができます。 インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。
始める前に
サポートされているプロキシオプションの概要については、プロキシサポートを参照してください。
| 1 | HDS ノードのセットアップ URL を入力 |
| 2 | [信頼ストアとロキシ] に移動して、次のオプションを選択します。
透過型検査プロキシ、基本認証を持つ HTTP 明示プロキシ、または HTTPS 明示プロキシについては、次のステップに従ってください。 |
| 3 | [ルート証明書またはエンティティ終了証明書のアップロード] をクリックし、プロキシのルート証明書を選択するために移動します。 証明書はアップロードされていますが、まだインストールされていません。証明書をインストールするにはノードを再起動する必要があります。 証明書発行者名の山形矢印をクリックして詳細を確認するか、間違っている場合は [削除] をクリックして、ファイルを再度アップロードしてください。 |
| 4 | [プロキシ接続を確認する] をクリックして、ノードとプロキシ間のネットワーク接続性をテストします。 接続テストが失敗した場合は、エラーメッセージが表示され、問題を解決するための理由と方法が示されます。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しています。 この状況は、多くの明示的なプロキシ構成で想定されています。 セットアップを続行すると、ノードは外部 DNS 解決ブロックモードで機能します。 これがエラーと思われる場合は、次の手順を実行し、「ブロックされた外部 DNS 解決モードをオフにする」を参照してください。 |
| 5 | 接続テストが成功した後、明示的なプロキシについては https のみに設定し、このノードからの すべてのポートの 443/444 https 要求を明示的プロキシを通してルーティングするように切り替えます。 この設定を有効にするには 15 秒かかります。 |
| 6 | [すべての証明書を信頼ストアにインストールする(HTTPS 明示プロキシまたは透過型のプロキシで表示される)] または [再起動] をクリックして、プロンプトを読み、準備が完了したら [インストール] をクリックします。 ノードが数分以内に再起動されます。 |
| 7 | ノードが再起動したら、必要に応じて再度サインインして、[概要] ページを開き、接続チェックを確認してすべて緑色のステータスになっていることを確認します。 プロキシ接続の確認は webex.com のサブドメインのみをテストします。 接続の問題がある場合、インストール手順に記載されているクラウド ドメインの一部がプロキシでブロックされているという問題がよく見られます。 |
クラスタ内の最初のノードを登録する
最初のノードを登録するとき、クラスターをノードが指定されている場所に作成します。 クラスタには、冗長性を提供するために展開された 1 つ以上のノードが含まれています。
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | https://admin.webex.comにサインインします。 |
| 2 | スクリーンの左側にあるメニューからサービスを選択します。 |
| 3 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[セットアップ] をクリックします。 [ハイブリッド データ セキュリティ ノードの登録] ページが表示されます。
|
| 4 | ノードを設定し、登録する準備ができていることを示すには、「はい」を選択し、「次へ」をクリックします。 |
| 5 | 最初のフィールドに、ハイブリッド データ セキュリティ ノードを割り当てるクラスタの名前を入力します。 クラスタのノードが地理的にどこに配置されているかに基づきクラスタに名前を付けることをお薦めします。 例: 「サンフランシスコ」「ニューヨーク」「ダラス」 |
| 6 | 2 番目のフィールドに、ノードの内部 IP アドレスまたは完全修飾ドメイン名（FQDN）を入力し、[次へ] をクリックします。 この IP アドレスまたは FQDN は、ハイブリッド データ セキュリティ VM のセットアップ で使用した IP アドレスまたはホスト名とドメインと一致する必要があります。 ノードを Webex に登録できることを示すメッセージが表示されます。
|
| 7 | [ノードに進む] をクリックします。 |
| 8 | 警告メッセージの [続ける] をクリックします。 しばらくすると、Webex サービスのノード接続テストにリダイレクトされます。 すべてのテストが成功すると、[ハイブリッド データ セキュリティ ノードへのアクセスを許可（Allow Access to Hybrid Data Security Node）] ページが表示されます。 ここで、ノードにアクセスする権限を Webex 組織に付与することを確認します。
|
| 9 | [ハイブリッド データ セキュリティ ノードへのアクセスを許可] チェックボックスをオンにして、[続行] をクリックします。 アカウントが検証され、「登録完了」メッセージは、ノードが Webex クラウドに登録されたことを示します。
|
| 10 | リンクをクリックするか、タブを閉じて、[Control Hub ハイブリッド データ セキュリティ] ページに戻ります。 [ハイブリッド データ セキュリティ] ページで、登録したノードを含む新しいクラスタが表示されます。 ノードはクラウドから最新のソフトウェアを自動的にダウンロードします。
|
より多くのノードを作成して登録する
| 現時点では、「ハイブリッド データ セキュリティの前提条件を完了」で作成したバックアップ VM は、ディザスタ リカバリーの場合にのみ使用されるスタンバイ ホストであり、それまではシステムに登録されていません。 詳細については、「スタンバイデータセンターを使用した災害復旧」を参照してください。 |
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | OVA から新しい仮想マシンを作成し、「HDS ホスト OVA のインストール」の手順を繰り返します。 |
| 2 | 新しい仮想マシンで初期設定を行い、「ハイブリッド データ セキュリティ 仮想マシンのセットアップ」の手順を繰り返します。 |
| 3 | 新しい VM で、「Upload and Mount the HDS Configuration ISO」の手順を繰り返します。 |
| 4 | 展開のプロキシを設定する場合は、新しいノードに必要に応じ「プロキシ統合の HDS ノードを設定する」の手順を繰り返します。 |
| 5 | ノードを登録します。 ノードが登録されています。 トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成することに注意してください。
|
次に行うこと
プロダクション タスク フローへの試行
ハイブリッド データ セキュリティ クラスタをセットアップした後、パイロットを起動し、ユーザーを追加し、本番環境への移行に備えて展開のテストと検証に使用を開始できます。
| 1 | 必要に応じて、 組織でユーザーのディレクトリ同期を使用している場合は、 |
| 2 |
トライアルを開始します。 このタスクを実行するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
| 3 |
重要な要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
| 4 |
ステータスを確認し、アラームのメール通知を設定します。 |
| 5 | |
| 6 | 以下のいずれかの操作を行い、治験の段階を完了します。 |
トライアルの有効化
始める前に
組織でユーザーのディレクトリ同期を使用している場合は、 HdsTrialGroup 組織のトライアルを開始する前に、クラウドに同期するためのグループ オブジェクト。 手順については、 Cisco Directory Connector 展開ガイドを参照してください。
| 1 | https://admin.webex.comにサインインし、「サービス」を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[トライアルの開始] をクリックします。 サービス ステータスがトライアル モードに変わります。
|
| 4 | [ユーザーの追加] をクリックし、暗号化およびインデックスサービスのためにハイブリッド データ セキュリティ ノードを使用してパイロットする 1 人以上のユーザーのメール アドレスを入力します。 (組織がディレクトリ同期を使用している場合は、Active Directory を使用してトライアル グループを管理します。 |
ハイブリッド データ セキュリティ展開をテストする
始める前に
ハイブリッド データ セキュリティの展開をセットアップします。
トライアルを有効にし、複数のトライアル ユーザーを追加します。
キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認するために、syslog にアクセスできることを確認します。
| 1 | 特定のスペースのキーは、スペースの作成者によって設定されます。 パイロットユーザーの 1 人として Webex アプリにサインインし、スペースを作成し、少なくとも 1 人のパイロットユーザーと 1 人の非パイロットユーザーを招待します。
| ||
| 2 | 新しいスペースにメッセージを送信します。 | ||
| 3 | syslog 出力をチェックして、キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
ハイブリッド データ セキュリティの健全性を監視する
| 1 | Control Hubで、画面左側のメニューからサービスを選択します。 |
| 2 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[設定] をクリックします。 [ハイブリッド データ セキュリティ設定] ページが表示されます。
|
| 3 | [メール通知] セクションで、カンマで区切られた 1 つ以上のメールアドレスを入力し、[Enter] を押します。 |
トライアルからユーザーを追加または削除する
トライアルからユーザーを削除すると、ユーザーのクライアントは KMS ではなく、クラウド KMS からキーとキーの作成を要求します。 クライアントが KMS に保存されているキーを必要とする場合、クラウド KMS はユーザーに代わってキーを取得します。
組織がディレクトリ同期を使用している場合、Active Directory (この手順の代わりに) を使用してトライアル グループを管理します。 HdsTrialGroup; Control Hub でグループメンバーを表示できますが、追加または削除することはできません。
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] 領域の [トライアルモード（Trial Mode）] セクションで、[ユーザーの追加（Add Users）] をクリックするか、[表示と編集] をクリックしてユーザーをトライアルから削除します。 |
| 4 | 追加する 1 人以上のユーザーのメールアドレスを入力するか、ユーザー ID の X をクリックしてユーザーをトライアルから削除します。 その後、[保存] をクリックします。 |
トライアルからプロダクションへの移行
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[本番環境に移動] をクリックします。 |
| 4 | すべてのユーザーを本番環境に移行することを確認します。 |
本番環境に移行せずにトライアルを終了する
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | 「Deactivate（無効化）」セクションで「Deactivate（無効化）」をクリックします。 |
| 4 | サービスを無効にしてトライアルを終了することを確認します。 |
HDS 展開の管理
ここで説明するタスクを使用して、ハイブリッド データ セキュリティの展開を管理します。
クラスタアップグレードスケジュールの設定
アップグレードスケジュールを設定するには:
| 1 | Control Hub にサインインします。 |
| 2 | [概要] ページの [ハイブリッド サービス] で、[ハイブリッド データ セキュリティ] を選択します。 |
| 3 | [ハイブリッド データ セキュリティ リソース] ページで、クラスタを選択します。 |
| 4 | 右側の [概要] パネルの [クラスタ設定] で、クラスタ名を選択します。 |
| 5 | 設定ページのアップグレードの下で、アップグレードのスケジュール設定を希望する時間およびタイムゾーンを選択します。 メモ: タイムゾーンの下に、次に可能なアップグレードの日時が表示されます。 必要に応じて、[延期] をクリックすることでアップグレードを翌日に延期することもできます。 |
ノードの設定を変更する
有効期限が切れる、または他の理由による、x.509 証明書の変更。
証明書の CN ドメイン名の変更はサポートされていません。 ドメインは、クラスターを登録するために使用される元のドメインと一致する必要があります。
データベース設定を更新して、PostgreSQL または Microsoft SQL Server データベースのレプリカを変更します。
PostgreSQL から Microsoft SQL Server への、またはその逆へのデータ移行はサポートしていません。 データベース環境を切り替えるには、ハイブリッド データ セキュリティの新しい展開を開始します。
新しい構成を作成して新しいデータセンターの準備をする。
また、セキュリティ上の理由により、ハイブリッド データ セキュリティは 9 か月間使用可能なサービス アカウント パスワードを使用します。 HDS セットアップ ツールがこれらのパスワードを生成した後で、ISO 構成ファイルの各 HDS ノードに展開します。 組織のパスワードの有効期限切れが近い場合、Webex チームから「パスワード期限切れ通知」を受け取り、マシン アカウントのパスワードのリセットを求められます。 (メールにはテキスト「マシン アカウント API を使用してパスワードを更新します」を含みます。) パスワードの有効期限が切れるまで時間が十分にある場合、ツールには次の 2 つのオプションがあります:
ソフト リセット— 古いパスワードと新しいパスワードは最大 10 日間有効です。 この期間を使用して、ノードの ISO ファイルを段階的に置き換えることができます。
ハード リセット—古いパスワードは即時に機能を停止します。
パスワードをリセットせずに期限切れになる場合、HDS サービスに影響を与える可能性があります。すぐにハード リセットし、すべてのノードの ISO ファイルを置換する必要があります。
この手順を使用して、新しい構成 ISO ファイルを生成し、クラスターに適用します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、1.eで Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT新しい構成を生成するには、現在の構成 ISO ファイルのコピーが必要です。 ISO には PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーを含むです。 データベースの証明書、証明書の更新、認証方針への変更を含む、構成の変更を行った場合は ISO が必要です。
| 1 | ローカル マシンで Docker を使用し、HDS セットアップ ツールを実行します。
| ||||||
| 2 | を実行している HDS ノードが 1 個のみある場合、新しいノード VM を作成し、新しいハイブリッド データ セキュリティ ノード VM を作成し、新しい構成 ISO ファイルを使用してそれを登録します。 手順の詳細については、「追加のノードを作成して登録する」を参照してください。 | ||||||
| 3 | 古い構成ファイルを実行している既存の HDS ノードの場合、ISO ファイルをマウントします。 各ノードで以下の手順を実行し、次のノードをオフにする前に、各ノードを更新します。 | ||||||
| 4 | ステップ 3 を繰り返し、古い構成ファイルを実行している残りの各ノードで構成を置き換えます。 |
外部 DNS 解決ブロックモードをオフにする
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 ノードの DNS サーバーがパブリック DNS 名を解決できない場合、ノードは自動的に外部 DNS 解決ブロックモードに進みます。
ノードが内部 DNS サーバーを通してパブリック DNS 名を解決できる場合、各ノードでプロキシ接続テストを再実行することで、このモードをオフにすることができます。
始める前に
| 1 | Web ブラウザで、ハイブリッド データ セキュリティ ノード インターフェイス (IP アドレス/セットアップ、たとえば、ノードに設定した管理者資格情報をhttps://192.0.2.0/setup), 入力し、[サインイン] をクリックします。 |
| 2 | [概要] (デフォルトページ) に移動します。 有効になっている場合、 [外部 DNS 解決ブロック] は [はい] に設定されています。 |
| 3 | [信頼ストアとプロキシ] ページに移動します。 |
| 4 | [プロキシ接続を確認する] をクリックします。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しており、このモードに留まっています。 そうでない場合には、ノードを再起動して[概要] ページに戻ると、[外部 DNS 解決ブロック] は [いいえ] に設定されるはずです。 |
次に行うこと
ノードの削除
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインし、仮想マシンの電源を切ります。 |
| 2 | ノードを削除します。 |
| 3 | vSphere クライアントで、仮想マシンを削除します (左側のナビゲーションペインで、仮想マシンを右クリックし、[削除] をクリックします)。 仮想マシンを削除しない場合は、設定の ISO ファイルのマウントを解除することを忘れないでください。 ISO ファイルがないと、VM を使用してセキュリティ データにアクセスすることはできません。 |
スタンバイデータセンターを使用したディザスタ リカバリ
ハイブリッド データ セキュリティ クラスタが提供する最も重要なサービスは、Webex クラウドに保存されているメッセージやその他のコンテンツを暗号化するために使用されるキーの作成と保存です。 ハイブリッド データ セキュリティに割り当てられている組織内の各ユーザーについて、新しいキー作成要求がクラスタにルーティングされます。 また、クラスタは、作成したキーを、カンバセーションスペースのメンバーなど、取得を許可されたユーザーに返却する責任があります。
クラスタは、これらのキーを提供するという重要な機能を実行するため、クラスタが実行され、適切なバックアップが維持されることが不可欠です。 ハイブリッド データ セキュリティ データベースまたはスキーマに使用されている構成 ISO が失われると、顧客のコンテンツが回復不能に失われます。 このような損失を防ぐには、以下の慣行が必須です。
災害により、プライマリデータセンターの HDS 展開が使用できなくなる場合は、次の手順に従って、スタンバイデータセンターに手動でフェールオーバーします。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。 | ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加するか、
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
（オプション）HDS設定後にISOをアンマウントする
標準の HDS 構成は、ISO マウントで実行されます。 しかし、一部の顧客は、ISOファイルを継続的にマウントしたままにしないことを好みます。 すべての HDS ノードが新しい設定をピックアップした後、ISO ファイルのマウントを解除できます。
ISO ファイルを使用して、設定を変更します。 新しい ISO を作成するか、セットアップツールを使用して ISO を更新する場合は、更新された ISO をすべての HDS ノードにマウントする必要があります。 すべてのノードが設定変更をピックアップしたら、この手順で再び ISO のマウントを解除できます。
始める前に
すべての HDS ノードをバージョン 2021.01.22.4720 以降にアップグレードします。
| 1 | 1 つの HDS ノードをシャットダウンします。 |
| 2 | vCenter Server Appliance で、HDS ノードを選択します。 |
| 3 | を選択し、［データストアISOファイル］のチェックを外します。 |
| 4 | HDS ノードの電源を入れ、少なくとも 20 分間アラームがないことを確認します。 |
| 5 | HDS ノードごとに順番に繰り返します。 |
アラートとトラブルシューティングの表示
ハイブリッド データ セキュリティの展開は、クラスタ内のすべてのノードに到達できない場合、またはクラスタが非常にゆっくりと動作しているため、要求がタイムアウトした場合、利用できないと見なされます。 ユーザーがハイブリッド データ セキュリティ クラスタに到達できない場合、次の症状が発生します。
新しいスペースを作成できません (新しいキーを作成できません)
メッセージとスペース タイトルの復号に失敗する:
新規ユーザーがスペースに追加されました (キーを取得できません)
新しいクライアントを使用するスペース内の既存のユーザー (キーを取得できません)
スペース内の既存のユーザーは、クライアントが暗号化キーのキャッシュを持っている限り、正常に動作し続けます。
ハイブリッド データ セキュリティ クラスタを適切に監視し、サービスの中断を避けるために速やかにアラートに対処することが重要です。
警告
ハイブリッド データ セキュリティのセットアップに問題がある場合、Control Hub は組織管理者にアラートを表示し、設定されたメール アドレスにメールを送信します。 アラートは、多くの一般的なシナリオをカバーしています。
警告 | アクション |
|---|---|
ローカル データべースへのアクセスに失敗しました。 |
データベース エラーまたはローカル ネットワークの問題を確認します。 |
ローカルデータベース接続に失敗しました。 |
データベース サーバが使用可能であり、ノード設定で適切なサービス アカウント クレデンシャルが使用されていることを確認します。 |
クラウド サービスへのアクセスに失敗しました。 |
外部接続要件で指定されているように、ノードが Webex サーバーにアクセスできることを確認します。 |
クラウドサービス登録の更新。 |
クラウドサービスへの登録が削除されました。 登録の更新が進行中です。 |
クラウドサービスの登録が削除されました。 |
クラウドサービスへの登録が終了しました。 サービスが停止しています。 |
サービスはまだアクティベートされていません。 |
トライアルを有効にするか、トライアルを本番環境に移行します。 |
設定されたドメインがサーバー証明書と一致しません。 |
サーバー証明書が設定されたサービス アクティベーション ドメインと一致していることを確認します。 最も可能性の高い原因は、証明書 CN が最近変更され、初期設定で使用された CN とは異なるようになったためです。 |
クラウド サービスの認証に失敗しました。 |
サービスアカウントの資格情報の正確さと有効期限の可否を確認します。 |
ローカル キーストア ファイルを開くことができませんでした。 |
ローカル キーストア ファイルの整合性とパスワードの正確性を確認します。 |
ローカルサーバー証明書が無効です。 |
サーバ証明書の有効期限を確認し、信頼できる認証局によって発行されていることを確認します。 |
メトリクスを投稿できません。 |
外部クラウド サービスへのローカル ネットワーク アクセスを確認します。 |
/media/configdrive/hds ディレクトリが存在しません。 |
仮想ホストの ISO マウント設定を確認します。 ISO ファイルが存在すること、再起動時にマウントするように設定されていること、正常にマウントされていることを確認します。 |
ハイブリッド データ セキュリティのトラブルシューティング
| 1 | アラートについては Control Hub を確認し、見つかった項目を修正します。 |
| 2 | ハイブリッド データ セキュリティ展開からのアクティビティの syslog サーバー出力を確認します。 |
| 3 | Cisco サポート にお問い合わせください。 |
ハイブリッド データ セキュリティの既知の問題
ハイブリッド データ セキュリティ クラスタをシャットダウンする (Control Hub で削除するか、すべてのノードをシャットダウンする)、構成 ISO ファイルを失う、またはキーストア データベースへのアクセスを失う場合、Webex アプリのユーザーは、KMS のキーを使用して作成された [ユーザー] リストの下のスペースを使用できなくなります。 これは、トライアル展開と本番展開の両方に適用されます。 現在、この問題の回避策や修正はありません。HDS サービスがアクティブなユーザーアカウントを処理したら、HDS サービスをシャットダウンしないようにしてください。
KMS への既存の ECDH 接続を持つクライアントは、その接続を一定期間 (おそらく 1 時間) 維持します。 ユーザーがハイブリッド データ セキュリティ トライアルのメンバーになると、ユーザーのクライアントは、タイムアウトするまで既存の ECDH 接続を引き続き使用します。 代わりに、ユーザーは Webex アプリ アプリにサインアウトして再度ログインして、アプリが暗号化キーの連絡先を更新できます。
同じ動作は、組織のトライアルを本番環境に移行する場合にも発生します。 以前のデータ セキュリティ サービスへの既存の ECDH 接続を持つすべての非トライアル ユーザーは、ECDH 接続が再ネゴシエートされるまで (タイムアウトまたはサインアウトして戻る)、これらのサービスを使用し続けます。
OpenSSL を使用して PKCS12 ファイルを生成する
始める前に
OpenSSLは、HDSセットアップツールでロードするための適切な形式でPKCS12ファイルを作成するために使用できるツールの1つです。 これを行うには他の方法があり、私たちは別の方法よりも支持または促進しません。
OpenSSLを使用することを選択した場合は、X.509証明書要件を満たすファイルを作成するのに役立つガイドラインとして、この手順を提供しています。 X.509 証明書の要件は... 続行する前にこれらの要件を理解してください。
サポートされている環境で OpenSSL をインストールします。 ソフトウェアとマニュアルについてはhttps://www.openssl.orgを参照してください。
秘密鍵を作成します。
認証局（CA）からサーバ証明書を受け取ったら、この手順を開始します。
| 1 | CA からサーバー証明書を受け取ったら、次のように保存します。 |
| 2 | 証明書をテキストとして表示し、詳細を確認します。
|
| 3 | テキスト エディタを使用して、証明書バンドル ファイルを作成します。
|
| 4 | 親しみやすい名前で .p12 ファイルを作成する
|
| 5 | サーバ証明書の詳細を確認してください。 |
次に行うこと
「 ハイブリッド データ セキュリティの前提条件を満たす」に戻ります。 次を使用します: hdsnode.p12［HDSホストの設定ISOの作成］で設定したファイルとパスワード。
| これらのファイルを再使用して、元の証明書の有効期限が切れたときに新しい証明書を要求できます。 |
HDS ノードとクラウド間のトラフィック
アウトバウンドメトリック収集トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドに特定のメトリックを送信します。 これには、ヒープ最大、使用されるヒープ、CPU 負荷、およびスレッド数のシステムメトリクス、同期スレッドと非同期スレッドのメトリクス、暗号化接続のしきい値、遅延、またはリクエストキュー長を含むアラートのメトリクス、データストアのメトリクス、および暗号化接続メトリックが含まれます。 ノードは、（リクエストとは別に）帯域外チャネル上で暗号化されたキー素材を送信します。
着信トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドから次のタイプのインバウンド トラフィックを受信します。
暗号化サービスによってルーティングされるクライアントからの暗号化要求
ノード ソフトウェアへのアップグレード
ハイブリッド データ セキュリティの Squid プロキシを設定する
Websocket は Squid プロキシを通じて接続できません
Mサイズは箱入りとなります Sサイズは箱なしでのラッピングとなります ギフトボックス・ラッピングについて ＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿ wss:) ハイブリッド データ セキュリティが必要とする接続。 これらのセクションでは、無視するためにさまざまなバージョンの Squid を設定する方法について説明します。 wss: これは、サービスの適切な運用のためのトラフィックです。
Squid 4 および5
次を追加します: on_unsupported_protocol 指示する squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
次のルールが追加され、ハイブリッド データ セキュリティが正常にテストされました。 squid.conf です。 これらのルールは、機能を開発し、Webex クラウドを更新する際に変更されることがあります。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all新規および変更された情報
|
日付 |
変更履歴 | ||
|---|---|---|---|
|
2023年10月20日。 |
| ||
|
2023年8月7日。 |
| ||
|
2023年5月23日。 |
| ||
|
2022 年 12 月 06 日 |
| ||
|
2022年11月23日。 |
| ||
|
2021 年 10 月 13 日 |
HDS ノードをインストールする前に、Docker Desktop でセットアッププログラムを実行する必要があります。Docker デスクトップの要件を参照してください。 | ||
|
2017 年 6 月 24 日 |
秘密鍵ファイルと CSR を再使用して別の証明書を要求できることに注意してください。詳細については、「OpenSSL を使用して PKCS12 ファイルを生成する 」を参照してください。 | ||
| 2021 年 4 月 30 日 |
ローカル ハード ディスク スペースの VM 要件を 30 GB に変更しました。詳細については、「仮想ホストの要件 」を参照してください。 | ||
|
2021 年 2 月 24 日 |
HDS セットアップ ツールは、プロキシの後ろで実行できるようになりました。詳細については、「HDS ホストの設定 ISO を作成する 」を参照してください。 | ||
|
2021 年 2 月 2 日 |
HDS は、マウントされた ISO ファイルなしで実行できるようになりました。詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。 | ||
|
2021年1月11日。 |
HDSセットアップツールとプロキシに関する情報を追加し、HDSホストの設定ISOを作成しました。 | ||
|
2020/10/13 |
インストールファイルのダウンロードを更新しました。 | ||
|
2020/10/08 |
更新HDSホストの設定ISOの作成 およびFedRAMP環境のコマンドによるノード設定の変更 。 | ||
|
2020 年 8 月 14 日 |
サインイン プロセスの変更に伴い、「HDS ホスト用の構成 ISO を作成する 」および「ノード構成を変更する 」が更新されました。 | ||
|
2020年8月5日水曜日 |
ログ メッセージの変更に関するハイブリッド データ セキュリティ展開のテスト を更新しました。 ホストの最大数を削除する仮想ホスト要件 を更新しました。 | ||
|
2020 年 6 月 16 日 |
Control Hub UI の変更に関するノードの削除 を更新しました。 | ||
|
2020 年 6 月 4 日 |
設定する詳細設定の変更に関するHDS ホストの設定 ISO の作成 を更新しました。 | ||
|
2020 年 5 月 29 日 |
SQL Serverデータベース、UI変更、およびその他の説明でTLSを使用できることを示すために、HDSホストの構成ISOを作成 を更新しました。 | ||
|
2020 年 5 月 5 日 |
ESXi 6.5 の新しい要件を表示するために、仮想ホスト要件 を更新しました。 | ||
|
2020 年 4 月 21 日 |
新しい Americas CI ホストとの外部接続要件 が更新されました。 | ||
|
2020 年 4 月 1 日 |
地域 CI ホストに関する情報で外部接続要件 が更新されました。 | ||
| 2020年2月20日水曜日 | HDSセットアップツールの新しいオプションの詳細設定画面に関する情報を記載したHDSホストの設定ISOを作成 を更新しました。 | ||
| 2020年2月4日 | プロキシサーバーの要件を更新しました。 | ||
| 2019年12月16日 | ブロックされた外部 DNS 解決モードがプロキシサーバーの要件で動作する要件を明確化しました。 | ||
| 2019 年 11 月 19 日 |
次のセクションで、ブロックされた外部 DNS 解決モードに関する情報を追加しました。 | ||
|
2019 年 11 月 8 日 |
OVA を後で展開するのではなく、ノードのネットワーク設定を構成できるようになりました。 以下のセクションを適宜更新しました。
| ||
|
2019年9月6日水曜日 |
データベースサーバーの要件にSQL Server Standardを追加しました。 | ||
| 2019 年 8 月 29 日 | 適切な動作のためにWebSocketトラフィックを無視するようにSquidプロキシを設定する方法についてのガイダンスが追加されました。Configure Squid Proxies for Hybrid Data Security の付録が追加されました。 | ||
| 2019 年 8 月 20 日 |
Webex クラウドへのハイブリッド データ セキュリティ ノード通信のプロキシ サポートをカバーするセクションを追加および更新しました。 既存の展開のプロキシ サポート コンテンツだけにアクセスするには、「ハイブリッド データ セキュリティと Webex ビデオ メッシュのプロキシ サポート 」のヘルプ記事を参照してください。 | ||
| 2019年6月13日。 | 組織がディレクトリ同期を使用している場合、トライアルを開始する前に、HdsTrialGroup グループオブジェクトを同期するようにリマインダー付きでトライアルから本番タスクフロー に更新しました。 | ||
| 2019年3月6日（火） |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
|
2019 年 1 月 24 日 |
| ||
| 2018年11月5日。 |
| ||
| 2018年10月19日水曜日 |
| ||
|
2018 年 7 月 31 日 |
| ||
| 2018/05/21 |
Cisco Spark のリブランディングを反映する用語の変更:
| ||
| 2018年4月11日。 |
| ||
| 2018年2月22日水曜日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
|
2017年11月2日。 |
| ||
|
2017年8月18日。 |
初公開。 |
ハイブリッド データ セキュリティの概要
初日から、Webex アプリの設計において、データ セキュリティが主な焦点となっています。このセキュリティの基盤は、Webex アプリ クライアントがキー管理サービス (KMS) と対話することで有効になる、エンドツーエンドのコンテンツ暗号化です。KMS はメッセージとファイルを動的に暗号化し、解読するためにクライアントが使用する暗号キーの作成と管理の責任を負っています。
デフォルトでは、すべての Webex アプリの顧客は、Cisco のセキュリティ領域にあるクラウド KMS に保存されている動的キーを使用して、エンドツーエンドの暗号化を取得します。ハイブリッド データ セキュリティは、KMS とその他のセキュリティ関連の機能をあなたのエンタープライズ データ センターに移動するため、誰でもなくあなたが暗号化コンテンツの鍵を持っています。
セキュリティRealmアーキテクチャ
Webex クラウド アーキテクチャは、以下に示すように、さまざまなタイプのサービスを別々の領域、または信頼ドメインに分離します。
ハイブリッド データ セキュリティをさらに理解するには、まず、Cisco がクラウド レルムですべての機能を提供しているこの純粋なクラウド ケースを見てみましょう。メールアドレスなどの個人情報とユーザーが直接相関できる唯一の場所であるアイデンティティサービスは、データセンターBのセキュリティ領域と論理的かつ物理的に分離されています。
この図では、クライアントはユーザーのラップトップで実行されている Webex アプリであり、ID サービスで認証されています。ユーザがスペースに送信するメッセージを作成すると、次の手順が実行されます。
-
クライアントは、キー管理サービス（KMS）とのセキュアな接続を確立し、メッセージを暗号化するためのキーを要求します。安全な接続は ECDH を使用し、KMS は AES-256 マスター キーを使用してキーを暗号化します。
-
メッセージはクライアントを離れる前に暗号化されます。クライアントはインデックスをインデックスサービスに送信します。これにより、暗号化された検索インデックスが作成され、今後のコンテンツの検索に役立ちます。
-
暗号化されたメッセージは、コンプライアンス チェックのためにコンプライアンス サービスに送信されます。
-
暗号化されたメッセージはストレージ領域に保存されます。
ハイブリッド データ セキュリティを展開すると、セキュリティ レルム機能 (KMS、インデックス、コンプライアンス) をオンプレミスのデータセンターに移動します。Webex を構成する他のクラウド サービス (ID とコンテンツ ストレージを含む) は、シスコの領域に残ります。
他の組織との連携
組織内のユーザーは、Webex アプリを定期的に使用して、他の組織の外部参加者とコラボレーションできます。ユーザーの 1 人が組織によって所有されているスペースのキーを要求すると（ユーザーの 1 人が作成したため）、KMS は ECDH 保護されたチャネルを介してキーをクライアントに送信します。ただし、別の組織がスペースのキーを所有している場合、KMS は別の ECDH チャネルを介してリクエストを WEBEX クラウドにルーティングして、適切な KMS からキーを取得し、元のチャネルのユーザーにキーを返します。
組織 A で実行されている KMS サービスは、x.509 PKI 証明書を使用して、他の組織の KMS への接続を検証します。ハイブリッド データ セキュリティの展開で使用する x.509 証明書の生成の詳細については、「環境の準備 」を参照してください。
ハイブリッド データ セキュリティの展開への期待
ハイブリッド データ セキュリティの展開には、重要な顧客コミットメントと暗号化キーの所有に伴うリスクの認識が必要です。
ハイブリッド データ セキュリティを展開するには、以下を提供する必要があります。
-
Cisco Webex Teams プランで サポートされているロケーションの国の安全なデータセンター。
-
環境の準備で説明する装置、ソフトウェア、およびネットワークアクセス。
ハイブリッド データ セキュリティ用に構築する構成 ISO または提供されたデータベースのいずれかを完全に失うと、キーが失われます。キー損失は、ユーザーが Webex アプリでスペース コンテンツやその他の暗号化されたデータを復号することを防ぎます。この場合、新しい展開を構築できますが、新しいコンテンツのみが表示されます。データへのアクセスの損失を避けるには、以下を行う必要があります。
-
データベースのバックアップとリカバリ、および構成ISOを管理します。
-
データベースのディスク障害やデータセンター障害などの大災害が発生した場合、迅速な災害復旧を実行する準備をしてください。
| HDS 導入後にキーをクラウドに戻すメカニズムはありません。 |
高レベルのセットアッププロセス
このドキュメントでは、ハイブリッド データ セキュリティ展開のセットアップと管理について説明します。
ハイブリッド データ セキュリティのセットアップ—これには、必要なインフラストラクチャの準備とハイブリッド データ セキュリティ ソフトウェアのインストール、トライアル モードでのユーザーのサブセットを使用した展開のテスト、テストが完了すると本番環境への移行が含まれます。これにより、組織全体がセキュリティ機能にハイブリッド データ セキュリティ クラスタを使用できるようになります。
セットアップ、トライアル、および生産の各段階は、次の3つの章で詳しく説明されています。
-
ハイブリッド データ セキュリティの展開を維持する—Webex クラウドは自動的に継続的なアップグレードを提供します。IT 部門は、この展開に対してティア 1 のサポートを提供し、必要に応じてシスコのサポートを引き受けることができます。画面上の通知を使用し、Control Hub でメールベースのアラートを設定できます。
-
一般的なアラート、トラブルシューティング手順、および既知の問題について理解する—ハイブリッド データ セキュリティの展開または使用で問題が発生した場合、このガイドの最後の章と既知の問題の付録を使用して、問題を決定および修正することができます。
ハイブリッド データ セキュリティ展開モデル
エンタープライズ データ センターでは、ハイブリッド データ セキュリティを個別の仮想ホスト上のノードの単一のクラスタとして展開します。ノードは、セキュアなウェブソケットとセキュアな HTTP を通じて Webex クラウドと通信します。
インストールプロセス中に、提供するVM上の仮想アプライアンスを設定するためのOVAファイルを提供します。HDS セットアップ ツールを使用して、各ノードにマウントするカスタム クラスタ構成 ISO ファイルを作成します。ハイブリッド データ セキュリティ クラスタは、提供された Syslogd サーバーと PostgreSQL または Microsoft SQL Server データベースを使用します。(HDS セットアップツールで Syslogd とデータベース接続の詳細を設定します。)
クラスタに持つことができるノードの最小数は 2 です。私たちは少なくとも3つをお勧めします、そしてあなたは最大5つを持つことができます。複数のノードを持つことにより、ノードのソフトウェア アップグレードやその他のメンテナンス アクティビティ中にサービスが中断されないようにします。(Webex クラウドは一度に 1 つのノードのみをアップグレードします。)
クラスタ内のすべてのノードが同じキーデータストアにアクセスし、同じ syslog サーバにアクティビティをログします。ノード自体はステートレスであり、クラウドが指示するように、ラウンドロビン方式で重要な要求を処理します。
ノードは、Control Hub に登録するとアクティブになります。個々のノードをサービスから削除するには、登録を解除し、必要に応じて後で再登録できます。
組織ごとに 1 つのクラスタのみをサポートします。
ハイブリッド データ セキュリティ トライアル モード
ハイブリッド データ セキュリティの展開をセットアップした後、最初にパイロット ユーザーのセットで試してください。トライアル期間中、これらのユーザーは暗号化キーやその他のセキュリティ領域サービスにオンプレミスのハイブリッド データ セキュリティ ドメインを使用します。他のユーザーは引き続きクラウド セキュリティ レルムを使用します。
トライアル中に展開を続行せず、サービスを無効にすると、パイロットユーザーとトライアル期間中に新しいスペースを作成して対話したユーザーは、メッセージとコンテンツへのアクセス権を失います。Webex アプリに「このメッセージは復号化できません」と表示されます。
導入がトライアル ユーザーに対してうまく機能しており、ハイブリッド データ セキュリティをすべてのユーザーに拡張する準備ができている場合は、導入を本番環境に移行します。パイロットのユーザーは、トライアル中に使用されたキーにアクセスできます。ただし、プロダクションモードと元のトライアルを行ったり来たりすることはできません。ディザスタ リカバリを実行するなど、サービスを非アクティブ化する必要がある場合は、再アクティブ化時に新しいトライアルを開始し、新しいトライアルのパイロット ユーザーのセットを設定してから、本番モードに戻す必要があります。ユーザがこの時点でデータへのアクセスを保持するかどうかは、クラスタ内のハイブリッド データ セキュリティ ノードのキー データ ストアと ISO 構成ファイルのバックアップを正常に維持したかどうかに依存します。
災害復旧のためのスタンバイデータセンター
展開中に、セキュアなスタンバイデータセンターを設定します。データセンターに障害が発生した場合、スタンバイデータセンターへの展開を手動で失敗させることができます。
アクティブ データ センターとスタンバイ データ センターのデータベースが相互に同期されているため、フェールオーバーを実行するのにかかる時間が最小限に抑えられます。スタンバイデータセンターの ISO ファイルは追加の構成で更新され、ノードが組織に登録されていることを確認しますが、トラフィックを処理しません。したがって、スタンバイデータセンターのノードは、常に最新バージョンのHDSソフトウェアで最新の状態に保たれます。
| アクティブなハイブリッド データ セキュリティ ノードは、常にアクティブなデータベース サーバと同じデータセンターにある必要があります。 |
災害復旧のためのスタンバイデータセンターを設定
スタンバイデータセンターの ISO ファイルを設定するには、以下の手順に従います。
スケジューリングを始める前に
-
スタンバイデータセンターは、VMとバックアップPostgreSQLまたはMicrosoft SQL Serverデータベースの生産環境をミラーリングする必要があります。たとえば、本番環境に HDS ノードを実行する 3 つの仮想マシンがある場合、バックアップ環境には 3 つの VM が必要です。（このフェールオーバーモデルの概要については、Standby Data Center for Disaster Recovery を参照してください）。
-
アクティブクラスタノードとパッシブクラスタノードのデータベース間でデータベース同期が有効になっていることを確認します。
| 1 |
HDS セットアップツールを起動し、「HDS ホストの設定 ISO を作成する」の手順に従います。
| ||
| 2 |
Syslogdサーバーを設定したら、［詳細設定］をクリックします。 | ||
| 3 |
［詳細設定］ ページで、以下の設定を追加して、ノードをパッシブモードにします。このモードでは、ノードは組織に登録され、クラウドに接続されますが、トラフィックは処理されません。
| ||
| 4 |
構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 |
ローカルシステム上のISOファイルのバックアップコピーを作成します。バックアップコピーを安全に保管します。このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 |
VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 |
[設定の編集] > [CD/DVDドライブ1 ] をクリックし、[データストアISOファイル] を選択します。
| ||
| 8 |
HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 |
スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
ISOファイルでpassiveMode を設定して保存した後、passiveMode 設定せずにISOファイルの別のコピーを作成し、安全な場所に保存することができます。passiveMode が設定されていないISOファイルのこのコピーは、ディザスタ・リカバリ中の迅速なフェールオーバー・プロセスに役立ちます。詳細なフェールオーバー手順については、「スタンバイデータセンターを使用したディザスタ リカバリ 」を参照してください。
プロキシサポート
ハイブリッド データ セキュリティは、明示的な透過的な検査および非検査プロキシをサポートします。これらのプロキシを展開に関連付けることができます。これにより、エンタープライズからクラウドに送信されるトラフィックをセキュリティ保護し、監視することができます。証明書の管理のノードでプラットフォーム管理インターフェイスを使用して、ノードでプロキシを設定した後で、全体的な接続ステータスを確認することができます。
ハイブリッド データ セキュリティ ノードは、以下のプロキシ オプションをサポートしています。
-
プロキシなし:プロキシを統合するためにHDSノード設定のTrust Store & Proxy設定を使用しない場合のデフォルト値。証明書の更新は必要ありません。
-
透過型非検査プロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。非検査プロキシで動作するように変更を加える必要はありません。証明書の更新は必要ありません。
-
透明なトンネリングまたはプロキシの検査:ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。ノードでは、HTTP または HTTPS の設定変更は必要ありません。ただし、ノードはプロキシを信頼するためにルート証明書を必要とします。プロキシを検査することで、Web サイトにアクセスするか、どのタイプのコンテンツを使用するかを強制するポリシーを施行することができます。このタイプのプロキシは、すべてのトラフィック (HTTPS さえも含む) を復号化します。
-
明示的プロキシ—明示的プロキシを使用すると、使用するプロキシ サーバと認証スキームを HDS ノードに伝えます。明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
-
プロキシ IP/FQDN:プロキシマシンに到達するために使用できるアドレス。
-
プロキシポート:プロキシがプロキシされたトラフィックをリッスンするために使用するポート番号。
-
プロキシ プロトコル—プロキシ サーバーがサポートしているプロトコルに応じて、次のプロトコルのいずれかを選択します。
-
HTTP—クライアントが送信するすべての要求を表示し、コントロールします。
-
HTTPS—サーバーにチャネルを提供します。クライアントがサーバーの証明書を受け取り、検証します。
-
-
認証タイプ:次の認証タイプから選択します。
-
なし:追加の認証は必要ありません。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
-
Basic:HTTPユーザーエージェントがリクエストを行う際にユーザー名とパスワードを提供するために使用されます。Base64 エンコードを使用します。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
-
ダイジェスト:機密情報を送信する前にアカウントを確認するために使用されます。ネットワークを経由して送信する前に、ユーザー名およびパスワードにハッシュ機能を適用します。
プロキシ プロトコルとして HTTPS を選択した場合にのみ利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
-
-
ハイブリッド データ セキュリティ ノードとプロキシの例
この図は、ハイブリッド データ セキュリティ、ネットワーク、およびプロキシ間の接続例を示しています。透過的な検査および HTTPS 明示的な検査プロキシ オプションの場合、同じルート証明書がプロキシとハイブリッド データ セキュリティ ノードにインストールされている必要があります。
外部 DNS 解決ブロックモード (明示的プロキシ構成)
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。内部クライアントのための外部 DNS 解決が許可されていない、明示的なプロキシ構成の展開では、ノードが DNS サーバーに問い合わせができない場合、自動的に外部 DNS 解決ブロックモードに切り替わります。このモードでは、ノード登録および他のプロキシ接続テストを続行することができます。
ハイブリッド データ セキュリティの要件
Cisco Webex ライセンス要件
ハイブリッド データ セキュリティを展開するには:
-
Cisco Webex Control Hub 用の Pro Pack が必要です。(https://www.cisco.com/go/pro-packを参照。)
Docker デスクトップの要件
HDS ノードをインストールする前に、セットアッププログラムを実行するには Docker Desktop が必要です。Dockerは最近、ライセンスモデルを更新しました。組織は Docker デスクトップの有料サブスクリプションを必要とする場合があります。詳細については、Docker ブログ投稿「 Docker は更新および製品サブスクリプションを拡張しています」を参照してください。
X.509 証明書の要件
証明書チェーンは、次の要件を満たしている必要があります。
|
要件 |
の詳細 |
|---|---|
|
デフォルトでは、https://wiki.mozilla.org/CA:IncludedCAsのMozillaリスト(WoSignとStartComを除く)のCAを信頼しています。 |
|
CN に到達可能またはライブホストである必要はありません。 CN には * (ワイルドカード) を含めることはできません。 CN は、Webex アプリ クライアントへのハイブリッド データ セキュリティ ノードを確認するために使用されます。クラスタ内のすべてのハイブリッド データ セキュリティ ノードが同じ証明書を使用します。KMS は、x.509v3 SAN フィールドで定義されているドメインではなく、CN ドメインを使用して自身を識別します。 この証明書でノードを登録すると、CN ドメイン名の変更はサポートされません。トライアル展開と本番展開の両方に適用できるドメインを選択します。 |
|
KMS ソフトウェアは、他の組織の KMS への接続を検証するための SHA1 署名をサポートしていません。 |
|
OpenSSL などのコンバータを使用して、証明書の形式を変更できます。 HDSセットアップツールを実行するときは、パスワードを入力する必要があります。 |
KMS ソフトウェアは、キーの使用や拡張キーの使用制限を強制しません。一部の証明機関では、サーバ認証など、各証明書に拡張されたキーの使用制限を適用する必要があります。サーバー認証やその他の設定を使用してもかまいません。
仮想ホストの要件
クラスタ内のハイブリッド データ セキュリティ ノードとして設定する仮想ホストには、次の要件があります。
-
同じセキュア データ センターでコロケーションされた少なくとも 2 つの別のホスト (3 推奨)
-
VMware ESXi 6.5 (またはそれ以降) がインストールされ、実行されています。
以前のバージョンの ESXi がある場合は、アップグレードする必要があります。
-
最低4vCPU、8GBメインメモリ、サーバーあたり30GBのローカルハードディスク容量
データベースサーバーの要件
| キーストレージ用の新しいデータベースを作成します。デフォルトのデータベースを使用しないでください。HDS アプリケーションをインストールすると、データベース スキーマが作成されます。 |
データベースサーバーには2つのオプションがあります。各要件は以下のとおりです。
|
PostgreSQLについて |
Microsoft SQL Server（マイクロソフト SQL サーバー） | ||
|---|---|---|---|
|
| ||
|
最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、および超過しないように監視します（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨）。 |
最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、および超過しないように監視します（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨）。 |
HDS ソフトウェアは現在、データベース サーバとの通信用に次のドライバ バージョンをインストールしています。
|
PostgreSQLについて |
Microsoft SQL Server（マイクロソフト SQL サーバー） |
|---|---|
|
Postgres JDBCドライバ 42.2.5 |
SQL Server JDBC ドライバ 4.6 このドライババージョンは、SQL Server Always On（Always On Failover Cluster Instances およびAlways On availability groups）をサポートしています。 |
Microsoft SQL Server に対する Windows 認証の追加要件
HDS ノードが Windows 認証を使用して Microsoft SQL Server のキーストア データベースにアクセスできるようにするには、環境内で次の設定が必要です。
-
HDS ノード、Active Directory インフラストラクチャ、MS SQL Server はすべて NTP と同期する必要があります。
-
HDS ノードに提供する Windows アカウントは、データベースへの読み取り/書き込みアクセス権を持っている必要があります。
-
HDS ノードに提供する DNS サーバは、キー配布センター (KDC) を解決できる必要があります。
-
Microsoft SQL Server に HDS データベース インスタンスをサービス プリンシパル名 (SPN) として Active Directory に登録できます。詳細は、Kerberos Connections のサービス プリンシパル名を登録するを参照してください。
HDS セットアップツール、HDS ランチャー、およびローカル KMS はすべて、キーストアデータベースにアクセスするために Windows 認証を使用する必要があります。Kerberos 認証でアクセスを要求するときに、ISO 設定の詳細を使用して SPN を構築します。
外部接続の要件
HDS アプリケーションに次の接続を許可するようにファイアウォールを設定します。
|
アプリケーション |
プロトコル |
ポート |
アプリからの方向 |
移動先 |
|---|---|---|---|---|
|
ハイブリッド データ セキュリティ ノード |
TCP |
443 |
アウトバウンド HTTPS および WSS |
|
|
HDS 設定ツール |
TCP |
443 |
アウトバウンド HTTPS |
|
| ハイブリッド データ セキュリティ ノードは、ネットワークアクセス変換（NAT）またはファイアウォールの後ろで動作します。ただし、NAT またはファイアウォールが前の表のドメイン宛先への必要な発信接続を許可している場合に限ります。ハイブリッド データ セキュリティ ノードにインバウンドする接続の場合、インターネットからポートを表示することはできません。データセンター内では、管理目的で、クライアントは TCP ポート 443 および 22 のハイブリッド データ セキュリティ ノードにアクセスする必要があります。 |
Common Identity (CI) ホストの URL は地域固有です。これらは現在の CI ホストです。
|
地域 |
共通 ID ホスト URL |
|---|---|
|
Americas (北米、中南米エリア) |
|
|
欧州連合 |
|
|
カナダ |
|
プロキシ サーバーの要件
-
お使いのハイブリッド データ セキュリティ ノードと統合できる次のプロキシ ソリューションを正式にサポートしています。
-
透過的プロキシ—Cisco Web Security Appliance (WSA)。
-
明示的プロキシ—Squid。
HTTPS トラフィックを検査する Squid プロキシは、websocket (wss:) 接続の確立を妨げる可能性があります。この問題を回避するには、「ハイブリッド データ セキュリティ用の Squid プロキシの設定」を参照してください。
-
-
明示的プロキシに対して次の認証タイプの組み合わせがサポートされています。
-
HTTP または HTTPS による認証がありません
-
HTTP または HTTPS による基本認証
-
HTTPS のみによるダイジェスト認証
-
-
透過的検査プロキシまたは HTTPS 明示的プロキシについては、プロキシのルート証明書のコピーが必要です。このガイドに記載されている展開手順は、ハイブリッド データ セキュリティ ノードの信頼ストアにコピーをアップロードする方法を説明しています。
-
HDS ノードをホストするネットワークは、ポート 443 のアウトバウンド TCP トラフィックを強制的にプロキシ経由でルーティングするように設定されている必要があります。
-
Web トラフィックを検査するプロキシは、Web ソケット接続に干渉する場合があります。この問題が発生した場合、
wbx2.comおよびciscospark.comへのトラフィックをバイパスする (検査しない) ことで問題を解決します。
ハイブリッド データ セキュリティの前提条件を完了する
| 1 |
Webex 組織が Pro Pack for Cisco Webex Control Hub に対して有効になっていることを確認し、完全な組織管理者権限を持つアカウントの資格情報を取得します。このプロセスについては、Cisco パートナーまたはアカウント マネージャーにお問い合わせください。 | ||
| 2 |
HDS 展開のドメイン名（例: | ||
| 3 |
クラスタ内のハイブリッド データ セキュリティ ノードとして設定する同一の仮想ホストを準備します。仮想ホスト要件の要件を満たす同じセキュアデータセンターにコロケーションされた少なくとも2つの個別のホスト（3つの推奨）が必要です。 | ||
| 4 |
データベースサーバーの要件に従って、クラスタのキーデータストアとして機能するデータベースサーバーを準備します。データベース サーバは、仮想ホストとセキュア データ センターでコロケーションする必要があります。 | ||
| 5 |
迅速な災害復旧のために、別のデータセンターにバックアップ環境を設定します。バックアップ環境は、VMとバックアップデータベースサーバの生成環境をミラーリングします。たとえば、本番環境に HDS ノードを実行する 3 つの仮想マシンがある場合、バックアップ環境には 3 つの VM が必要です。 | ||
| 6 |
syslog ホストをセットアップして、クラスタ内のノードからログを収集します。ネットワーク アドレスと syslog ポートを収集します（デフォルトは UDP 514）。 | ||
| 7 |
ハイブリッド データ セキュリティ ノード、データベース サーバ、および syslog ホスト用のセキュア バックアップ ポリシーを作成します。少なくとも、回復不能なデータの損失を防ぐには、ハイブリッド データ セキュリティ ノード用に生成されたデータベースと構成 ISO ファイルをバックアップする必要があります。
Webex アプリ クライアントはキーをキャッシュするため、停止がすぐに目立つことはありませんが、時間の経過とともに明らかになります。一時的な停止を防ぐことは不可能ですが、それらは回復可能です。ただし、データベースまたは構成ISOファイルの完全な損失(利用可能なバックアップはありません)は、回復不能な顧客データになります。ハイブリッド データ セキュリティ ノードのオペレータは、データベースと構成 ISO ファイルの頻繁なバックアップを維持し、壊滅的な障害が発生した場合にハイブリッド データ セキュリティ データ センターを再構築する準備をする必要があります。 | ||
| 8 |
ファイアウォール構成により、外部接続要件で説明されているように、ハイブリッド データ セキュリティ ノードの接続が許可されていることを確認してください。 | ||
| 9 |
http://127.0.0.1:8080.からアクセスできるWebブラウザを使用して、サポートされているOS(Microsoft Windows 10 ProfessionalまたはEnterprise 64ビット、またはMac OSX Yosemite 10.10.3以上)を実行しているローカルマシンにDocker(https://www.docker.com)をインストールします。 Docker インスタンスを使用して、すべてのハイブリッド データ セキュリティ ノードのローカル設定情報を構築する HDS セットアップ ツールをダウンロードして実行します。組織に Docker Desktop ライセンスが必要になる場合があります。詳細については、「Docker デスクトップの要件 」を参照してください。 HDSセットアップツールをインストールして実行するには、ローカルマシンに外部接続要件に記載されている接続性が必要です。 | ||
| 10 |
プロキシとハイブリッド データ セキュリティを統合する場合は、プロキシ サーバーの要件を満たしていることを確認してください。 | ||
| 11 |
組織でディレクトリ同期を使用している場合は、
|
Hybrid Data Security Deployment Task Flow
スケジューリングを始める前に
| 1 |
Download the OVA file to your local machine for later use. | ||
| 2 |
Create a Configuration ISO for the HDS Hosts Use the HDS Setup Tool to create an ISO configuration file for the Hybrid Data Security nodes. | ||
| 3 |
Create a virtual machine from the OVA file and perform initial configuration, such as network settings.
| ||
| 4 |
Set up the Hybrid Data Security VM Sign in to the VM console and set the sign-in credentials. Configure the network settings for the node if you didn't configure them at the time of OVA deployment. | ||
| 5 |
Upload and Mount the HDS Configuration ISO Configure the VM from the ISO configuration file that you created with the HDS Setup Tool. | ||
| 6 |
If the network environment requires proxy configuration, specify the type of proxy that you will use for the node, and add the proxy certificate to the trust store if needed. | ||
| 7 |
Register the First Node in the Cluster Register the VM with the Cisco Webex cloud as a Hybrid Data Security node. | ||
| 8 |
Create and Register More Nodes Complete the cluster setup. | ||
| 9 |
Run a Trial and Move to Production (next chapter) Until you start a trial, your nodes generate an alarm indicating that your service is not yet activated. |
Download Installation Files
| 1 |
Sign in to https://admin.webex.com, and then click Services. | ||||
| 2 |
In the Hybrid Services section, find the Hybrid Data Security card, and then click Set up. If the card is disabled or you don’t see it, contact your account team or your partner organization. Give them your account number and ask to enable your organization for Hybrid Data Security. To find the account number, click the gear at the top right, next to your organization name.
| ||||
| 3 |
Select No to indicate that you haven’t set up the node yet, and then click Next. The OVA file automatically begins to download. Save the file to a location on your machine.
| ||||
| 4 |
Optionally, click Open Deployment Guide to check if there’s a later version of this guide available. |
Create a Configuration ISO for the HDS Hosts
The Hybrid Data Security setup process creates an ISO file. You then use the ISO to configure your Hybrid Data Security host.
始める前に
-
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。アクセスするには、そのマシンで Docker を実行します。セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
If the HDS Setup tool runs behind a proxy in your environment, provide the proxy settings (server, port, credentials) through Docker environment variables when bringing up the Docker container in step 5. この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
The configuration ISO file that you generate contains the master key encrypting the PostgreSQL or Microsoft SQL Server database. You need the latest copy of this file anytime you make configuration changes, like these:
-
Database credentials
-
Certificate updates
-
Changes to authorization policy
-
-
If you plan to encrypt database connections, set up your PostgreSQL or SQL Server deployment for TLS.
| 1 |
マシンのコマンド ラインで、お使い環境に適切なコマンドを入力します。 一般環境: FedRAMP 環境の場合:
| ||||||||||||
| 2 |
Docker 画像レジストリにサインインするには、以下を入力します。 | ||||||||||||
| 3 |
パスワードのプロンプトに対して、このハッシュを入力します。 | ||||||||||||
| 4 |
お使い環境に合った最新の安定した画像をダウンロードします。 一般環境: FedRAMP 環境の場合: | ||||||||||||
| 5 |
プルが完了したら、お使いの環境に適切なコマンドを入力します。
コンテナが実行中の時。「ポート 8080 で Express サーバー リスニング中」と表示されます。 | ||||||||||||
| 6 |
Use a web browser to go to the localhost, The tool uses this first entry of the username to set the proper environment for that account. The tool then displays the standard sign-in prompt. | ||||||||||||
| 7 |
When prompted, enter your Control Hub customer admin sign-in credentials, and then click Log in to allow access to the required services for Hybrid Data Security. | ||||||||||||
| 8 |
On the Setup Tool overview page, click Get Started. | ||||||||||||
| 9 |
On the ISO Import page, you have these options:
| ||||||||||||
| 10 |
Check that your X.509 certificate meets the requirements in X.509 Certificate Requirements.
| ||||||||||||
| 11 |
Enter the database address and account for HDS to access your key datastore: | ||||||||||||
| 12 |
Select a TLS Database Connection Mode:
When you upload the root certificate (if necessary) and click Continue, the HDS Setup Tool tests the TLS connection to the database server. また、必要に応じて、証明書の署名者とホスト名も検証されます。テストが失敗した場合、問題を説明するエラー メッセージがツールによって表示されます。エラーを無視してセットアップを続行するかどうかを選択できます。(Because of connectivity differences, the HDS nodes might be able to establish the TLS connection even if the HDS Setup Tool machine can't successfully test it.) | ||||||||||||
| 13 |
On the System Logs page, configure your Syslogd server: | ||||||||||||
| 14 |
(Optional) You can change the default value for some database connection parameters in Advanced Settings. Generally, this parameter is the only one that you might want to change: | ||||||||||||
| 15 |
Click Continue on the Reset Service Accounts Password screen. Service account passwords have a nine-month lifespan. Use this screen when your passwords are nearing expiry or you want to reset them to invalidate previous ISO files. | ||||||||||||
| 16 |
Click Download ISO File. Save the file in a location that's easy to find. | ||||||||||||
| 17 |
Make a backup copy of the ISO file on your local system. Keep the backup copy secure. This file contains a master encryption key for the database contents. Restrict access to only those Hybrid Data Security administrators who should make configuration changes. | ||||||||||||
| 18 |
セットアップ ツールをシャットダウンするには、 |
次に行うこと
Back up the configuration ISO file. You need it to create more nodes for recovery, or to make configuration changes. If you lose all copies of the ISO file, you've also lost the master key. Recovering the keys from your PostgreSQL or Microsoft SQL Server database isn't possible.
| We never have a copy of this key and can't help if you lose it. |
Install the HDS Host OVA
| 1 |
Use the VMware vSphere client on your computer to log into the ESXi virtual host. | ||||||
| 2 |
ファイル > OVF テンプレートを展開を選択します。 | ||||||
| 3 |
In the wizard, specify the location of the OVA file that you downloaded earlier, and then click Next. | ||||||
| 4 |
On the Select a name and folder page, enter a Virtual machine name for the node (for example, "HDS_Node_1"), choose a location where the virtual machine node deployment can reside, and then click Next. | ||||||
| 5 |
On the Select a compute resource page, choose the destination compute resource, and then click Next. A validation check runs. After it finishes, the template details appear. | ||||||
| 6 |
Verify the template details and then click Next. | ||||||
| 7 |
If you are asked to choose the resource configuration on the Configuration page, click 4 CPU and then click Next. | ||||||
| 8 |
On the Select storage page, click Next to accept the default disk format and VM storage policy. | ||||||
| 9 |
On the Select networks page, choose the network option from the list of entries to provide the desired connectivity to the VM. | ||||||
| 10 |
On the Customize template page, configure the following network settings:
If preferred, you can skip the network setting configuration and follow the steps in Set up the Hybrid Data Security VM to configure the settings from the node console.
| ||||||
| 11 |
Right-click the node VM, and then choose . The Hybrid Data Security software is installed as a guest on the VM Host. You are now ready to sign in to the console and configure the node. トラブルシューティングのヒント ノード コンテナーが出てくるまでに、数分間の遅延がある場合があります。初回起動の間、ブリッジ ファイアウォール メッセージが、コンソールに表示され、この間はサイン インできません。 |
Set up the Hybrid Data Security VM
Use this procedure to sign in to the Hybrid Data Security node VM console for the first time and set the sign-in credentials. You can also use the console to configure the network settings for the node if you didn't configure them at the time of OVA deployment.
| 1 |
In the VMware vSphere client, select your Hybrid Data Security node VM and select the Console tab. The VM boots up and a login prompt appears. ログインプロンプトが表示されない場合は、 入力を押してください。
|
| 2 |
Use the following default login and password to sign in and change the credentials: Since you are signing in to your VM for the first time, you are required to change the administrator password. |
| 3 |
If you already configured the network settings in Install the HDS Host OVA, skip the rest of this procedure. Otherwise, in the main menu, select the Edit Configuration option. |
| 4 |
Set up a static configuration with IP address, Mask, Gateway and DNS information. Your node should have an internal IP address and DNS name. DHCP is not supported. |
| 5 |
(Optional) Change the hostname, domain or NTP server(s), if needed to match your network policy. You do not need to set the domain to match the domain that you used to obtain the X.509 certificate. |
| 6 |
Save the network configuration and reboot the VM so that the changes take effect. |
Upload and Mount the HDS Configuration ISO
スケジューリングを始める前に
Because the ISO file holds the master key, it should only be exposed on a "need to know" basis, for access by the Hybrid Data Security VMs and any administrators who might need to make changes. Make sure that only those administrators can access the datastore.
| 1 |
Upload the ISO file from your computer: |
| 2 |
Mount the ISO file: |
次に行うこと
If your IT policy requires, you can optionally unmount the ISO file after all your nodes pick up the configuration changes. See (Optional) Unmount ISO After HDS Configuration for details.
プロキシ統合のために HDS ノードを設定する
ネットワーク環境でプロキシが必要な場合は、この手順を使用して、ハイブリッド データ セキュリティと統合するプロキシのタイプを指定します。透過型のプロキシまたは HTTPS を明示的なプロキシを選択した場合、ノードのインターフェイスを使用してルート証明書をアップロードしてインストールすることができます。インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。
スケジューリングを始める前に
-
See Proxy Support for an overview of the supported proxy options.
| 1 |
HDS ノードセットアップ URL |
| 2 |
[信頼ストアとロキシ] に移動して、次のオプションを選択します。
透過型検査プロキシ、基本認証を持つ HTTP 明示プロキシ、または HTTPS 明示プロキシについては、次のステップに従ってください。 |
| 3 |
[ルート証明書またはエンティティ終了証明書のアップロード] をクリックし、プロキシのルート証明書を選択するために移動します。 証明書はアップロードされていますが、まだインストールされていません。証明書をインストールするにはノードを再起動する必要があります。証明書発行者名の山形矢印をクリックして詳細を確認するか、間違っている場合は [削除] をクリックして、ファイルを再度アップロードしてください。 |
| 4 |
[プロキシ接続を確認する] をクリックして、ノードとプロキシ間のネットワーク接続性をテストします。 接続テストが失敗した場合は、エラーメッセージが表示され、問題を解決するための理由と方法が示されます。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しています。この状況は、多くの明示的なプロキシ構成で想定されています。セットアップを続行すると、ノードは外部 DNS 解決ブロックモードで機能します。If you think this is an error, complete these steps, and then see Turn off Blocked External DNS Resolution Mode. |
| 5 |
接続テストが成功した後、明示的なプロキシについては https のみに設定し、このノードからの すべてのポートの 443/444 https 要求を明示的プロキシを通してルーティングするように切り替えます。この設定を有効にするには 15 秒かかります。 |
| 6 |
[すべての証明書を信頼ストアにインストールする(HTTPS 明示プロキシまたは透過型のプロキシで表示される)] または [再起動] をクリックして、プロンプトを読み、準備が完了したら [インストール] をクリックします。 ノードが数分以内に再起動されます。 |
| 7 |
ノードが再起動したら、必要に応じて再度サインインして、[概要] ページを開き、接続チェックを確認してすべて緑色のステータスになっていることを確認します。 プロキシ接続の確認は webex.com のサブドメインのみをテストします。接続の問題がある場合、インストール手順に記載されているクラウド ドメインの一部がプロキシでブロックされているという問題がよく見られます。 |
Register the First Node in the Cluster
最初のノードを登録するとき、クラスターをノードが指定されている場所に作成します。A cluster contains one or more nodes deployed to provide redundancy.
スケジューリングを始める前に
-
一旦ノードの登録を開始すると、60分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
-
Ensure that any pop-up blockers in your browser are disabled or that you allow an exception for admin.webex.com.
| 1 |
https://admin.webex.comにサインインします。 |
| 2 |
スクリーンの左側にあるメニューからサービスを選択します。 |
| 3 |
In the Hybrid Services section, find Hybrid Data Security and click Set up. The Register Hybrid Data Security Node page appears.
|
| 4 |
Select Yes to indicate that you have set up the node and are ready to register it, and then click Next. |
| 5 |
In the first field, enter a name for the cluster to which you want to assign your Hybrid Data Security node. クラスターのノードが地理的にどこに配置されているかに基づきクラスターに名前を付けることをお薦めします。Examples: "San Francisco" or "New York" or "Dallas" |
| 6 |
In the second field, enter the internal IP address or fully qualified domain name (FQDN) of your node and click Next. This IP address or FQDN should match the IP address or hostname and domain that you used in Set up the Hybrid Data Security VM. A message appears indicating you can register your node to the Webex.
|
| 7 |
ノードに進むをクリックします。 |
| 8 |
警告メッセージの続ける をクリックします。 After a few moments, you are redirected to the node connectivity tests for Webex services. If all tests are successful, the Allow Access to Hybrid Data Security Node page appears. There, you confirm that you want to give permissions to your Webex organization to access your node.
|
| 9 |
Check the Allow Access to Your Hybrid Data Security Node checkbox, and then click Continue. Your account is validated and the "Registration Complete" message indicates that your node is now registered to the Webex cloud.
|
| 10 |
Click the link or close the tab to go back to the Control Hub Hybrid Data Security page. On the Hybrid Data Security page, the new cluster containing the node that you registered is displayed. The node will automatically download the latest software from the cloud.
|
Create and Register More Nodes
| At this time, the backup VMs that you created in Complete the Prerequisites for Hybrid Data Security are standby hosts which are only used in the event of disaster recovery; they are not registered with the system until then. For details, see Disaster Recovery using Standby Data Center. |
スケジューリングを始める前に
-
一旦ノードの登録を開始すると、60分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
-
Ensure that any pop-up blockers in your browser are disabled or that you allow an exception for admin.webex.com.
| 1 |
Create a new virtual machine from the OVA, repeating the steps in Install the HDS Host OVA. |
| 2 |
Set up the initial configuration on the new VM, repeating the steps in Set up the Hybrid Data Security VM. |
| 3 |
On the new VM, repeat the steps in Upload and Mount the HDS Configuration ISO. |
| 4 |
If you are setting up a proxy for your deployment, repeat the steps in Configure the HDS Node for Proxy Integration as needed for the new node. |
| 5 |
Register the node. Your node is registered. Note that until you start a trial, your nodes generate an alarm indicating that your service is not yet activated.
|
次に行うこと
プロダクション タスク フローへの試行
ハイブリッド データ セキュリティ クラスタを設定した後、パイロットを開始し、ユーザーを追加し、本番環境への移行に備えて展開のテストと検証に使用を開始できます。
スケジューリングを始める前に
| 1 |
必要に応じて、 組織がユーザーのディレクトリ同期を使用している場合、トライアルを開始する前に、クラウドと同期するために |
| 2 |
トライアルを開始します。このタスクを実行するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
| 3 |
重要な要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
| 4 |
ステータスを確認し、アラームのメール通知を設定します。 |
| 5 | |
| 6 |
以下のいずれかの操作を行い、治験の段階を完了します。 |
トライアルの有効化
スケジューリングを始める前に
組織がユーザーのディレクトリ同期を使用している場合、組織のトライアルを開始する前に、クラウドに同期するためにHdsTrialGroup グループオブジェクトを選択する必要があります。手順については、「Cisco Directory Connector 展開ガイド」を参照してください。
| 1 |
https://admin.webex.comにサインインし、「サービス」を選択します。 |
| 2 |
[ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 |
[サービスステータス（Service Status）] セクションで、[トライアルの開始] をクリックします。 サービス ステータスがトライアル モードに変わります。
|
| 4 |
[ユーザーの追加 ] をクリックし、暗号化およびインデックスサービスのためにハイブリッド データ セキュリティ ノードを使用してパイロットする 1 人以上のユーザーのメール アドレスを入力します。 （組織がディレクトリ同期を使用している場合、Active Directory を使用してトライアルグループ |
ハイブリッド データ セキュリティ展開をテストする
スケジューリングを始める前に
-
ハイブリッド データ セキュリティの展開をセットアップします。
-
トライアルを有効にし、複数のトライアル ユーザーを追加します。
-
キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認するために、syslog にアクセスできることを確認します。
| 1 |
特定のスペースのキーは、スペースの作成者によって設定されます。パイロットユーザーの 1 人として Webex アプリにサインインし、スペースを作成し、少なくとも 1 人のパイロットユーザーと 1 人の非パイロットユーザーを招待します。
| ||
| 2 |
新しいスペースにメッセージを送信します。 | ||
| 3 |
syslog 出力をチェックして、キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
ハイブリッド データ セキュリティの健全性を監視する
| 1 |
Control Hubで、画面左側のメニューからサービス を選択します。 |
| 2 |
[ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけて [設定] をクリックします。 [ハイブリッド データ セキュリティ設定] ページが表示されます。
|
| 3 |
[メール通知] セクションで、カンマで区切られた 1 つ以上のメールアドレスを入力し、[Enter] を押します。 |
トライアルからユーザーを追加または削除する
トライアルからユーザーを削除すると、ユーザーのクライアントは KMS ではなく、クラウド KMS からキーとキーの作成を要求します。クライアントが KMS に保存されているキーを必要とする場合、クラウド KMS はユーザーに代わってキーを取得します。
組織がディレクトリ同期を使用している場合は、（この手順の代わりに）Active Directory を使用してトライアル グループ HdsTrialGroupを管理します。Control Hub でグループ メンバーを表示できますが、追加または削除はできません。
| 1 |
Control Hub にサインインし、[サービス] を選択します。 |
| 2 |
[ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 |
[サービスステータス（Service Status）] 領域の [トライアルモード（Trial Mode）] セクションで、[ユーザーの追加（Add Users）] をクリックするか、[表示と編集 ] をクリックしてユーザーをトライアルから削除します。 |
| 4 |
追加する 1 人以上のユーザーのメールアドレスを入力するか、ユーザー ID の X をクリックしてユーザーをトライアルから削除します。その後、[保存] をクリックします。 |
トライアルからプロダクションへの移行
| 1 |
Control Hub にサインインし、[サービス] を選択します。 |
| 2 |
[ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 |
[サービスステータス（Service Status）] セクションで、[本番環境に移動] をクリックします。 |
| 4 |
すべてのユーザーを本番環境に移行することを確認します。 |
本番環境に移行せずにトライアルを終了する
| 1 |
Control Hub にサインインし、[サービス] を選択します。 |
| 2 |
[ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 |
「Deactivate（無効化）」セクションで「Deactivate（無効化）」をクリックします。 |
| 4 |
サービスを無効にしてトライアルを終了することを確認します。 |
HDS 展開の管理
ここで説明するタスクを使用して、ハイブリッド データ セキュリティの展開を管理します。
クラスタアップグレードスケジュールの設定
アップグレードスケジュールを設定するには:
| 1 |
Control Hub にサインインします。 |
| 2 |
[概要] ページの [ハイブリッド サービス] で、[ハイブリッド データ セキュリティ] を選択します。 |
| 3 |
[ハイブリッド データ セキュリティ リソース] ページで、クラスタを選択します。 |
| 4 |
右側の [概要] パネルの [クラスタ設定] で、クラスタ名を選択します。 |
| 5 |
設定ページのアップグレードの下で、アップグレードのスケジュール設定を希望する時間およびタイムゾーンを選択します。 注意: タイムゾーンの下に、次に可能なアップグレードの日時が表示されます。必要に応じてアップグレードを翌日に延期するには、「延期する」をクリックします。 |
ノードの設定を変更する
-
有効期限が切れる、または他の理由による、x.509 証明書の変更。
証明書の CN ドメイン名の変更はサポートされていません。ドメインは、クラスターを登録するために使用される元のドメインと一致する必要があります。
-
データベース設定を更新して、PostgreSQL または Microsoft SQL Server データベースのレプリカを変更します。
PostgreSQL から Microsoft SQL Server への、またはその逆へのデータ移行はサポートしていません。データベース環境を切り替えるには、ハイブリッド データ セキュリティの新しい展開を開始します。
-
新しい構成を作成して新しいデータセンターの準備をする。
また、セキュリティ上の理由により、ハイブリッド データ セキュリティは 9 か月間使用可能なサービス アカウント パスワードを使用します。HDS セットアップ ツールがこれらのパスワードを生成した後で、ISO 構成ファイルの各 HDS ノードに展開します。組織のパスワードの有効期限切れが近い場合、Webex チームから「パスワード期限切れ通知」を受け取り、マシン アカウントのパスワードのリセットを求められます。(メールにはテキスト「マシン アカウント API を使用してパスワードを更新します」を含みます。) パスワードの有効期限が切れるまで時間が十分にある場合、ツールには次の 2 つのオプションがあります:
-
ソフトリセット:古いパスワードと新しいパスワードはともに10日間有効です。この期間を使用して、ノードの ISO ファイルを段階的に置き換えることができます。
-
ハードリセット:古いパスワードはすぐに使用できなくなります。
パスワードをリセットせずに期限切れになる場合、HDS サービスに影響を与える可能性があります。すぐにハード リセットし、すべてのノードの ISO ファイルを置換する必要があります。
この手順を使用して、新しい構成 ISO ファイルを生成し、クラスターに適用します。
始める前に
-
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。アクセスするには、そのマシンで Docker を実行します。セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS 設定ツールが環境内のプロキシの背後に実行されている場合は、1.eでDockerコンテナを起動するときに、Docker環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
グローバル_エージェント_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
グローバル_エージェント_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
グローバル_エージェント_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
グローバル_エージェント_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
新しい構成を生成するには、現在の構成 ISO ファイルのコピーが必要です。ISO には PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーを含むです。データベースの証明書、証明書の更新、認証方針への変更を含む、構成の変更を行った場合は ISO が必要です。
| 1 |
ローカル マシンで Docker を使用し、HDS セットアップ ツールを実行します。
| ||||||
| 2 |
1 つの HDS ノードのみを実行している場合、新しいハイブリッド データ セキュリティ ノード VM を作成し、新しい構成 ISO ファイルを使用して登録します。手順の詳細については、「追加のノードを作成して登録する」を参照してください。 | ||||||
| 3 |
古い構成ファイルを実行している既存の HDS ノードの場合、ISO ファイルをマウントします。各ノードで以下の手順を実行し、次のノードをオフにする前に、各ノードを更新します。 | ||||||
| 4 |
ステップ 3 を繰り返し、古い構成ファイルを実行している残りの各ノードで構成を置き換えます。 |
外部 DNS 解決ブロックモードをオフにする
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。ノードの DNS サーバーがパブリック DNS 名を解決できない場合、ノードは自動的に外部 DNS 解決ブロックモードに進みます。
ノードが内部 DNS サーバーを通してパブリック DNS 名を解決できる場合、各ノードでプロキシ接続テストを再実行することで、このモードをオフにすることができます。
スケジューリングを始める前に
| 1 |
Web ブラウザで、ハイブリッド データ セキュリティ ノード インターフェイス (IP アドレス/セットアップ) を開き、https://192.0.2.0/setup), ノード用に設定した管理者資格情報を入力して、[サインイン] をクリックします。 |
| 2 |
[概要] (デフォルトページ) に移動します。 有効になっている場合、 [外部 DNS 解決ブロック] は [はい] に設定されています。 |
| 3 |
[信頼ストアとプロキシ] ページに移動します。 |
| 4 |
[プロキシ接続を確認する] をクリックします。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しており、このモードに留まっています。そうでない場合には、ノードを再起動して[概要] ページに戻ると、[外部 DNS 解決ブロック] は [いいえ] に設定されるはずです。 |
次に行うこと
ノードの削除
| 1 |
コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインし、仮想マシンの電源を切ります。 |
| 2 |
ノードを削除します。 |
| 3 |
vSphere クライアントで、仮想マシンを削除します。(左側のナビゲーションペインで、仮想マシンを右クリックし、[削除] をクリックします。) 仮想マシンを削除しない場合は、設定の ISO ファイルのマウントを解除することを忘れないでください。ISO ファイルがないと、VM を使用してセキュリティ データにアクセスすることはできません。 |
スタンバイデータセンターを使用したディザスタ リカバリ
ハイブリッド データ セキュリティ クラスタが提供する最も重要なサービスは、Webex クラウドに保存されているメッセージやその他のコンテンツを暗号化するために使用されるキーの作成と保存です。ハイブリッド データ セキュリティに割り当てられている組織内の各ユーザーについて、新しいキー作成要求がクラスタにルーティングされます。また、クラスタは、作成したキーを、カンバセーションスペースのメンバーなど、取得を許可されたユーザーに返却する責任があります。
クラスタは、これらのキーを提供するという重要な機能を実行するため、クラスタが引き続き実行され、適切なバックアップが維持される必要があります。ハイブリッド データ セキュリティ データベースまたはスキーマに使用されている構成 ISO が失われると、顧客のコンテンツが回復不能に失われます。このような損失を防ぐには、以下の慣行が必須です。
災害により、プライマリデータセンターの HDS 展開が使用できなくなる場合は、次の手順に従って、スタンバイデータセンターに手動でフェールオーバーします。
| 1 |
HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。 | ||
| 2 |
Syslogdサーバーを設定したら、［詳細設定］をクリックします。 | ||
| 3 |
［詳細設定］ ページで、以下の設定を追加するか、または
| ||
| 4 |
構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 |
ローカルシステム上のISOファイルのバックアップコピーを作成します。バックアップコピーを安全に保管してください。このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 |
VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 |
[設定の編集] > [CD/DVDドライブ1 ] をクリックし、[データストアISOファイル] を選択します。
| ||
| 8 |
HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 |
スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
（オプション）HDS設定後にISOをアンマウントする
標準の HDS 構成は、ISO マウントで実行されます。しかし、一部の顧客は、ISOファイルを継続的にマウントしたままにしないことを好みます。すべての HDS ノードが新しい設定をピックアップした後、ISO ファイルのマウントを解除できます。
ISO ファイルを使用して、設定を変更します。新しい ISO を作成するか、セットアップツールを使用して ISO を更新する場合は、更新された ISO をすべての HDS ノードにマウントする必要があります。すべてのノードが設定変更をピックアップしたら、この手順で再び ISO のマウントを解除できます。
スケジューリングを始める前に
すべての HDS ノードをバージョン 2021.01.22.4720 以降にアップグレードします。
| 1 |
1 つの HDS ノードをシャットダウンします。 |
| 2 |
vCenter Server Appliance で、HDS ノードを選択します。 |
| 3 |
［ ］の順に選択し、［データストアISOファイル］のチェックを外します。 |
| 4 |
HDS ノードの電源を入れ、少なくとも 20 分間アラームがないことを確認します。 |
| 5 |
HDS ノードごとに順番に繰り返します。 |
アラートとトラブルシューティングの表示
ハイブリッド データ セキュリティの展開は、クラスタ内のすべてのノードに到達できない場合、またはクラスタが非常にゆっくりと動作しているため、要求がタイムアウトした場合、利用できないと見なされます。ユーザーがハイブリッド データ セキュリティ クラスタに到達できない場合、次の症状が発生します。
-
新しいスペースを作成できません (新しいキーを作成できません)
-
メッセージとスペース タイトルの復号に失敗する:
-
新規ユーザーがスペースに追加されました (キーを取得できません)
-
新しいクライアントを使用するスペース内の既存のユーザー (キーを取得できません)
-
-
スペース内の既存のユーザーは、クライアントが暗号化キーのキャッシュを持っている限り、正常に実行されます。
ハイブリッド データ セキュリティ クラスタを適切に監視し、サービスの中断を避けるために速やかにアラートに対処することが重要です。
警告
ハイブリッド データ セキュリティのセットアップに問題がある場合、Control Hub は組織管理者にアラートを表示し、設定されたメール アドレスにメールを送信します。アラートは、多くの一般的なシナリオをカバーしています。
|
アラート |
アクション |
|---|---|
|
ローカル データべースへのアクセスに失敗しました。 |
データベース エラーまたはローカル ネットワークの問題を確認します。 |
|
ローカルデータベース接続に失敗しました。 |
データベース サーバが使用可能であり、ノード設定で適切なサービス アカウント クレデンシャルが使用されていることを確認します。 |
|
クラウド サービスへのアクセスに失敗しました。 |
外部接続要件で指定されているように、ノードが Webex サーバーにアクセスできることを確認します。 |
|
クラウドサービス登録の更新。 |
クラウドサービスへの登録が削除されました。登録の更新が進行中です。 |
|
クラウドサービスの登録が削除されました。 |
クラウドサービスへの登録が終了しました。サービスが停止しています。 |
|
サービスはまだアクティベートされていません。 |
トライアルを有効にするか、トライアルを本番環境に移行します。 |
|
設定されたドメインがサーバー証明書と一致しません。 |
サーバー証明書が設定されたサービス アクティベーション ドメインと一致していることを確認します。 最も可能性の高い原因は、証明書 CN が最近変更され、初期設定で使用された CN とは異なるようになったためです。 |
|
クラウド サービスの認証に失敗しました。 |
サービスアカウントの資格情報の正確さと有効期限の可否を確認します。 |
|
ローカル キーストア ファイルを開くことができませんでした。 |
ローカル キーストア ファイルの整合性とパスワードの正確性を確認します。 |
|
ローカルサーバー証明書が無効です。 |
サーバ証明書の有効期限を確認し、信頼できる認証局によって発行されていることを確認します。 |
|
メトリクスを投稿できません。 |
外部クラウド サービスへのローカル ネットワーク アクセスを確認します。 |
|
/media/configdrive/hds ディレクトリが存在しません。 |
仮想ホストの ISO マウント設定を確認します。ISO ファイルが存在すること、再起動時にマウントするように設定されていること、および正常にマウントされていることを確認します。 |
ハイブリッド データ セキュリティのトラブルシューティング
| 1 |
アラートについては Control Hub を確認し、見つかった項目を修正します。 |
| 2 |
ハイブリッド データ セキュリティ展開からのアクティビティの syslog サーバー出力を確認します。 |
| 3 |
Cisco サポート にお問い合わせください。 |
ハイブリッド データ セキュリティの既知の問題
-
ハイブリッド データ セキュリティ クラスタをシャットダウンする (Control Hub で削除するか、すべてのノードをシャットダウンする)、構成 ISO ファイルを失う、またはキーストア データベースへのアクセスを失う場合、Webex アプリのユーザーは、KMS のキーを使用して作成された [ユーザー] リストの下のスペースを使用できなくなります。これは、トライアル展開と本番展開の両方に適用されます。現在、この問題の回避策や修正はありません。HDSサービスがアクティブなユーザーアカウントを処理したら、HDSサービスをシャットダウンしないようにしてください。
-
KMS への既存の ECDH 接続を持つクライアントは、その接続を一定期間 (おそらく 1 時間) 維持します。ユーザーがハイブリッド データ セキュリティ トライアルのメンバーになると、ユーザーのクライアントは、タイムアウトするまで既存の ECDH 接続を引き続き使用します。代わりに、ユーザーは Webex アプリ アプリにサインアウトして再度ログインして、アプリが暗号化キーの連絡先を更新できます。
同じ動作は、組織のトライアルを本番環境に移行する場合にも発生します。以前のデータ セキュリティ サービスへの既存の ECDH 接続を持つすべての非トライアル ユーザーは、ECDH 接続が再ネゴシエートされるまで (タイムアウトまたはサインアウトして戻る)、これらのサービスを使用し続けます。
OpenSSL を使用して PKCS12 ファイルを生成する
スケジューリングを始める前に
-
OpenSSLは、HDSセットアップツールでロードするための適切な形式でPKCS12ファイルを作成するために使用できるツールの1つです。これを行うには他の方法があり、私たちは別の方法よりも支持または促進しません。
-
OpenSSLを使用することを選択した場合は、X.509証明書要件を満たすファイルを作成するのに役立つガイドラインとして、この手順を提供しています。 X.509 証明書の要件。続行する前にこれらの要件を理解してください。
-
サポートされている環境で OpenSSL をインストールします。ソフトウェアとドキュメントhttps://www.openssl.org を参照してください。
-
秘密鍵を作成します。
-
認証局（CA）からサーバ証明書を受け取ったら、この手順を開始します。
| 1 |
CA からサーバ証明書を受け取ったら、それを |
| 2 |
証明書をテキストとして表示し、詳細を確認します。
|
| 3 |
テキスト エディタを使用して、
|
| 4 |
親しみやすい名前の.p12ファイルを
|
| 5 |
サーバ証明書の詳細を確認してください。 |
次に行うこと
「ハイブリッド データ セキュリティの前提条件を満たす」に戻ります。［hdsnode.p12 ］ファイルと、設定したパスワードは、［HDSホストの設定ISOの作成］で使用します。
| これらのファイルを再使用して、元の証明書の有効期限が切れたときに新しい証明書を要求できます。 |
HDS ノードとクラウド間のトラフィック
アウトバウンドメトリック収集トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドに特定のメトリックを送信します。これには、ヒープ最大、使用されるヒープ、CPU 負荷、およびスレッド数のシステムメトリクス、同期スレッドと非同期スレッドのメトリクス、暗号化接続のしきい値、遅延、または要求キュー長を含むアラートのメトリクス、データストアのメトリクス、および暗号化接続メトリックが含まれます。ノードは、（リクエストとは別に）帯域外チャネル上で暗号化されたキーマテリアルを送信します。
着信トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドから次のタイプのインバウンド トラフィックを受信します。
-
暗号化サービスによってルーティングされるクライアントからの暗号化要求
-
ノード ソフトウェアへのアップグレード
ハイブリッド データ セキュリティの Squid プロキシを設定する
Websocket は Squid プロキシを通じて接続できません
HTTPS トラフィックを検査する Squid プロキシは、ハイブリッド データ セキュリティが必要とする websocket (wss:) 接続の確立を妨げる可能性があります。これらのセクションでは、wss: トラフィックを無視するためのさまざまなバージョンの Squid の設定方法について説明してい ます。 これは、サービスの適切な運用のためのトラフィックです。
Squid 4 および5
on_unsupported_protocol ディレクティブを squid.conf に追加します:
on_unsupported_protocol トンネル すべてSquid 3.5.27
以下の規則が squid.conf に追加されて、ハイブリッドデータセキュリティのテストに成功しました。これらのルールは、機能を開発し、Webex クラウドを更新する際に変更されることがあります。
acl wssMercuryConnection ssl::server_name_regex マーキュリー接続 ssl_bump スプライス wssMercuryConnection acl ステップ1 at_step SslBump1 acl ステップ2 at_step SslBump2 acl ステップ3 at_step SslBump3（SslBump3） ssl_bump ピーク ステップ1 すべて ssl_bump Stare ステップ2 すべて ssl_bump バンプ ステップ3 すべて新規および変更された情報
日付 | 変更履歴 | ||
|---|---|---|---|
2023年10月20日。 |
| ||
2023年8月7日。 |
| ||
2023年5月23日。 |
| ||
2022 年 12 月 06 日 |
| ||
2022年11月23日。 |
| ||
2021 年 10 月 13 日 | HDS ノードをインストールする前に、Docker Desktop でセットアッププログラムを実行する必要があります。 Docker デスクトップの要件を参照してください。 | ||
2017 年 6 月 24 日 | 秘密鍵ファイルと CSR を再使用して別の証明書を要求できることに注意してください。 詳細については、「OpenSSL を使用して PKCS12 ファイルを生成する」を参照してください。 | ||
| 2021 年 4 月 30 日 | ローカル ハード ディスク スペースの VM 要件を 30 GB に変更しました。 詳細については、「仮想ホスト要件」を参照してください。 | ||
2021 年 2 月 24 日 | HDS セットアップ ツールは、プロキシの後ろで実行できるようになりました。 詳細については、「HDS ホストの設定 ISO を作成する」を参照してください。 | ||
2021 年 2 月 2 日 | HDS は、マウントされた ISO ファイルなしで実行できるようになりました。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。 | ||
2021年1月11日。 | HDSセットアップツールとプロキシに関する情報を追加し、HDSホストの設定ISOを作成しました。 | ||
2020/10/13 | インストールファイルのダウンロードを更新しました。 | ||
2020/10/08 | 更新HDSホスト用の構成ISOの作成およびFedRAMP環境のコマンドによるノード構成の変更。 | ||
2020 年 8 月 14 日 | サインイン プロセスの変更に伴い、「HDS ホストの構成 ISO を作成する」および「ノード構成を変更する」が更新されました。 | ||
2020年8月5日水曜日 | ログ メッセージの変更に関するハイブリッド データ セキュリティ展開のテストを更新しました。 ホストの最大数を削除する仮想ホスト要件を更新しました。 | ||
2020 年 6 月 16 日 | Control Hub UI の変更に関するノードの削除を更新しました。 | ||
2020 年 6 月 4 日 | 設定する詳細設定の変更に関するHDS ホストの設定 ISO の作成を更新しました。 | ||
2020 年 5 月 29 日 | SQL Serverデータベース、UI変更、およびその他の説明でTLSを使用できることを示すために、HDSホストの構成ISOを作成するを更新しました。 | ||
2020 年 5 月 5 日 | ESXi 6.5 の新しい要件を表示するために、仮想ホスト要件を更新しました。 | ||
2020 年 4 月 21 日 | 新しい Americas CI ホストとの外部接続要件が更新されました。 | ||
2020 年 4 月 1 日 | 地域 CI ホストに関する情報で外部接続要件が更新されました。 | ||
| 2020年2月20日水曜日 | HDSセットアップツールの新しいオプションの詳細設定画面に関する情報を記載したHDSホストの設定ISOを作成を更新しました。 | ||
| 2020年2月4日。 | プロキシサーバーの要件を更新しました。 | ||
| 2019年12月16日 | ブロックされた外部 DNS 解決モードがプロキシサーバーの要件で動作する要件を明確化しました。 | ||
| 2019 年 11 月 19 日 | 次のセクションで、ブロックされた外部 DNS 解決モードに関する情報を追加しました。 | ||
2019 年 11 月 8 日 | OVA を後で展開するのではなく、ノードのネットワーク設定を構成できるようになりました。 以下のセクションを適宜更新しました。
| ||
2019年9月6日水曜日 | データベースサーバーの要件にSQL Server Standardを追加しました。 | ||
| 2019 年 8 月 29 日 | 適切な動作のためにWebSocketトラフィックを無視するようにSquidプロキシを設定する方法についてのガイダンスが追加されました。Configure Squid Proxies for Hybrid Data Securityの付録が追加されました。 | ||
| 2019 年 8 月 20 日 | Webex クラウドへのハイブリッド データ セキュリティ ノード通信のプロキシ サポートをカバーするセクションを追加および更新しました。 既存の展開のプロキシ サポート コンテンツのみにアクセスするには、「ハイブリッド データ セキュリティと Webex ビデオ メッシュのプロキシ サポート」のヘルプ記事を参照してください。 | ||
| 2019年6月13日。 | トライアルから本番稼働タスク フローに更新し、 HdsTrialGroup 組織がディレクトリ同期を使用している場合、トライアルを開始する前にグループ オブジェクト。 | ||
| 2019年3月6日（火） |
| ||
| 2019 年 2 月 28 日 |
| ||
| 2019 年 2 月 26 日 |
| ||
2019 年 1 月 24 日 |
| ||
| 2018年11月5日。 |
| ||
| 2018年10月19日水曜日 |
| ||
2018 年 7 月 31 日 |
| ||
| 2018/05/21 | Cisco Spark のリブランディングを反映する用語の変更:
| ||
| 2018年4月11日。 |
| ||
| 2018年2月22日水曜日 |
| ||
| 2018 年 2 月 15 日 |
| ||
| 2018 年 1 月 18 日 |
| ||
2017年11月2日。 |
| ||
2017年8月18日。 | 初公開。 |
ハイブリッド データ セキュリティの概要
初日から、Webex アプリの設計において、データ セキュリティが主な焦点となっています。 このセキュリティの基盤は、Webex アプリ クライアントがキー管理サービス (KMS) と対話することで有効になる、エンドツーエンドのコンテンツ暗号化です。 KMS はメッセージとファイルを動的に暗号化し、解読するためにクライアントが使用する暗号キーの作成と管理の責任を負っています。
デフォルトでは、すべての Webex アプリの顧客は、Cisco のセキュリティ領域にあるクラウド KMS に保存されている動的キーを使用して、エンドツーエンドの暗号化を取得します。 ハイブリッド データ セキュリティは、KMS とその他のセキュリティ関連の機能をあなたのエンタープライズ データ センターに移動するため、誰でもなくあなたが暗号化コンテンツの鍵を持っています。
セキュリティRealmアーキテクチャ
Webex クラウド アーキテクチャは、以下に示すように、さまざまなタイプのサービスを別々の領域、または信頼ドメインに分離します。
ハイブリッド データ セキュリティをさらに理解するには、まず、シスコがクラウド レルムですべての機能を提供しているこの純粋なクラウド ケースを見てみましょう。 メールアドレスなどの個人情報とユーザーが直接相関できる唯一の場所であるアイデンティティサービスは、データセンターBのセキュリティ領域と論理的かつ物理的に分離されています。
この図では、クライアントはユーザーのラップトップで実行されている Webex アプリであり、ID サービスで認証されています。 ユーザがスペースに送信するメッセージを作成すると、次の手順が実行されます。
クライアントは、キー管理サービス（KMS）とのセキュアな接続を確立し、メッセージを暗号化するためのキーを要求します。 安全な接続は ECDH を使用し、KMS は AES-256 マスター キーを使用してキーを暗号化します。
メッセージはクライアントを離れる前に暗号化されます。 クライアントはインデックスをインデックスサービスに送信します。これにより、暗号化された検索インデックスが作成され、今後のコンテンツの検索に役立ちます。
暗号化されたメッセージは、コンプライアンス チェックのためにコンプライアンス サービスに送信されます。
暗号化されたメッセージはストレージ領域に保存されます。
ハイブリッド データ セキュリティを展開すると、セキュリティ レルム機能 (KMS、インデックス、コンプライアンス) をオンプレミスのデータセンターに移動します。 Webex を構成する他のクラウド サービス (ID とコンテンツ ストレージを含む) は、シスコの領域に残ります。
他の組織との連携
組織内のユーザーは、Webex アプリを定期的に使用して、他の組織の外部参加者とコラボレーションできます。 ユーザーの 1 人が組織によって所有されているスペースのキーを要求すると（ユーザーの 1 人が作成したため）、KMS は ECDH 保護されたチャネルを介してキーをクライアントに送信します。 ただし、別の組織がスペースのキーを所有している場合、KMS は別の ECDH チャネルを介してリクエストを WEBEX クラウドにルーティングして、適切な KMS からキーを取得し、元のチャネルのユーザーにキーを返します。
組織 A で実行されている KMS サービスは、x.509 PKI 証明書を使用して他の組織の KMS への接続を検証します。 ハイブリッド データ セキュリティの展開で使用する x.509 証明書の生成の詳細については、「環境の準備」を参照してください。
ハイブリッド データ セキュリティの展開への期待
ハイブリッド データ セキュリティの展開には、重要な顧客のコミットメントと、暗号化キーの所有に伴うリスクの認識が必要です。
ハイブリッド データ セキュリティを展開するには、以下を提供する必要があります。
Cisco Webex Teams プランで サポートされている国の安全なデータセンター。
環境の準備で説明する装置、ソフトウェア、およびネットワークアクセス。
ハイブリッド データ セキュリティ用に構築する構成 ISO または提供されたデータベースのいずれかを完全に失うと、キーが失われます。 キー損失は、ユーザーが Webex アプリでスペース コンテンツやその他の暗号化されたデータを復号することを防ぎます。 この場合、新しい展開を構築できますが、新しいコンテンツのみが表示されます。 データへのアクセスの損失を避けるには、以下を行う必要があります。
データベースのバックアップとリカバリ、および構成ISOを管理します。
データベースのディスク障害やデータセンター障害などの大災害が発生した場合、迅速な災害復旧を実行する準備をしてください。
| HDS 導入後にキーをクラウドに戻すメカニズムはありません。 |
高レベルのセットアッププロセス
このドキュメントでは、ハイブリッド データ セキュリティ展開のセットアップと管理について説明します。
ハイブリッド データ セキュリティのセットアップ—これには、必要なインフラストラクチャの準備とハイブリッド データ セキュリティ ソフトウェアのインストール、トライアル モードでのユーザーのサブセットを使用した展開のテスト、テストが完了すると本番環境に移行することが含まれます。 これにより、組織全体がセキュリティ機能にハイブリッド データ セキュリティ クラスタを使用できるようになります。
セットアップ、トライアル、および生産の各段階は、次の3つの章で詳しく説明されています。
ハイブリッド データ セキュリティの展開を維持する—Webex クラウドは自動的に継続的なアップグレードを提供します。 IT 部門は、この展開に対してティア 1 のサポートを提供し、必要に応じてシスコのサポートを引き受けることができます。 画面上の通知を使用し、Control Hub でメールベースのアラートを設定できます。
一般的なアラート、トラブルシューティング手順、および既知の問題について理解する—ハイブリッド データ セキュリティの展開または使用で問題が発生した場合、このガイドの最後の章と既知の問題の付録は、問題を決定および修正するのに役立ちます。
ハイブリッド データ セキュリティ展開モデル
エンタープライズ データ センターでは、ハイブリッド データ セキュリティを個別の仮想ホスト上のノードの単一のクラスタとして展開します。 ノードは、セキュアなウェブソケットとセキュアな HTTP を通じて Webex クラウドと通信します。
インストールプロセス中に、提供するVM上の仮想アプライアンスを設定するためのOVAファイルを提供します。 HDS セットアップ ツールを使用して、各ノードにマウントするカスタム クラスタ構成 ISO ファイルを作成します。 ハイブリッド データ セキュリティ クラスタは、提供された Syslogd サーバーと PostgreSQL または Microsoft SQL Server データベースを使用します。 (HDS セットアップツールで Syslogd とデータベース接続の詳細を設定します。)
クラスタに持つことができるノードの最小数は 2 です。 私たちは少なくとも3つをお勧めします、そしてあなたは最大5つを持つことができます。 複数のノードを持つことにより、ノードのソフトウェアアップグレードやその他のメンテナンス作業中にサービスが中断されないようにします。（Webex クラウドは一度に 1 つのノードのみをアップグレードします。）
クラスタ内のすべてのノードが同じキーデータストアにアクセスし、同じ syslog サーバにアクティビティをログします。 ノード自体はステートレスであり、クラウドの指示に従って、ラウンドロビン方式で重要な要求を処理します。
ノードは、Control Hub に登録するとアクティブになります。 個々のノードをサービスから削除するには、登録を解除し、必要に応じて後で再登録できます。
組織ごとに 1 つのクラスタのみをサポートします。
ハイブリッド データ セキュリティ トライアル モード
ハイブリッド データ セキュリティの展開をセットアップした後、最初にパイロット ユーザーのセットで試してください。 トライアル期間中、これらのユーザーは暗号化キーやその他のセキュリティ領域サービスにオンプレミスのハイブリッド データ セキュリティ ドメインを使用します。 他のユーザーは引き続きクラウド セキュリティ レルムを使用します。
トライアル中に展開を続行せず、サービスを無効にすると、パイロットユーザーとトライアル期間中に新しいスペースを作成して対話したユーザーは、メッセージとコンテンツへのアクセス権を失います。 Webex アプリに「このメッセージは復号化できません」と表示されます。
導入がトライアル ユーザーに対してうまく機能しており、ハイブリッド データ セキュリティをすべてのユーザーに拡張する準備ができている場合は、導入を本番環境に移行します。 パイロットのユーザーは、トライアル中に使用されたキーにアクセスできます。 ただし、プロダクションモードと元のトライアルを行ったり来たりすることはできません。 ディザスタ リカバリを実行するなど、サービスを非アクティブ化する必要がある場合は、再アクティブ化時に新しいトライアルを開始し、新しいトライアルのパイロット ユーザーのセットを設定してから、本番モードに戻す必要があります。 ユーザがこの時点でデータへのアクセスを保持するかどうかは、クラスタ内のハイブリッド データ セキュリティ ノードのキー データ ストアと ISO 構成ファイルのバックアップを正常に維持したかどうかに依存します。
災害復旧のためのスタンバイデータセンター
展開中に、セキュアなスタンバイデータセンターを設定します。 データセンターに障害が発生した場合、スタンバイデータセンターへの展開を手動で失敗させることができます。
アクティブ データ センターとスタンバイ データ センターのデータベースが相互に同期されているため、フェールオーバーを実行するのにかかる時間が最小限に抑えられます。 スタンバイデータセンターの ISO ファイルは、ノードが組織に登録されていることを確認する追加の構成で更新されますが、トラフィックは処理されません。 したがって、スタンバイデータセンターのノードは、常に最新バージョンのHDSソフトウェアで最新の状態に保たれます。
| アクティブなハイブリッド データ セキュリティ ノードは、常にアクティブなデータベース サーバと同じデータセンターにある必要があります。 |
災害復旧のためのスタンバイデータセンターを設定
スタンバイデータセンターの ISO ファイルを設定するには、以下の手順に従います。
始める前に
スタンバイデータセンターは、VMとバックアップPostgreSQLまたはMicrosoft SQL Serverデータベースの生産環境をミラーリングする必要があります。 たとえば、本番環境に HDS ノードを実行する 3 台の仮想マシンがある場合、バックアップ環境には 3 台の仮想マシンが必要です (このフェールオーバーモデルの概要については、「Standby Data Center for Disaster Recovery」を参照してください)。
アクティブクラスタノードとパッシブクラスタノードのデータベース間でデータベース同期が有効になっていることを確認します。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。
| ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加して、ノードをパッシブモードにします。 このモードでは、ノードは組織に登録され、クラウドに接続されますが、トラフィックは処理されません。
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
設定後 passiveMode ISOファイルに保存すると、ISOファイルの別のコピーを作成できます。 passiveMode 設定し、安全な場所に保存します。 このISOファイルのコピー passiveMode 設定すると、ディザスタ リカバリ中の迅速なフェールオーバー プロセスに役立ちます。 詳細なフェールオーバー手順については、「 スタンバイデータセンターを使用したディザスタ リカバリ」を参照してください。
プロキシサポート
ハイブリッド データ セキュリティは、明示的な透過的な検査および非検査プロキシをサポートします。 これらのプロキシを展開に関連付けることができます。これにより、エンタープライズからクラウドに送信されるトラフィックをセキュリティ保護し、監視することができます。 証明書の管理のノードでプラットフォーム管理インターフェイスを使用して、ノードでプロキシを設定した後で、全体的な接続ステータスを確認することができます。
ハイブリッド データ セキュリティ ノードは、以下のプロキシ オプションをサポートしています。
プロキシなし—プロキシを統合するために、HDS ノード セットアップの信頼ストアとプロキシ設定を使用しない場合は、デフォルトになります。 証明書の更新は必要ありません。
透過型の検査なしのプロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていないため、検査なしのプロキシで動作するように変更を加える必要はありません。 証明書の更新は必要ありません。
透過トンネリングまたは検査プロキシ—ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。 ノードでは、HTTP または HTTPS の設定変更は必要ありません。 ただし、ノードはプロキシを信頼するためにルート証明書を必要とします。 プロキシを検査することで、Web サイトにアクセスするか、どのタイプのコンテンツを使用するかを強制するポリシーを施行することができます。 このタイプのプロキシは、すべてのトラフィック (HTTPS さえも含む) を復号化します。
明示的プロキシ—明示的なプロキシを使用して、使用するプロキシ サーバーと認証スキームを指定します。 明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
プロキシ IP/FQDN—プロキシ マシンに到達するために使用できるアドレス。
プロキシ ポート-プロキシがプロキシ トラフィックをリスンするために使用するポート番号。
プロキシ プロトコル-プロキシ サーバーがサポートするものに応じて、次のいずれかのプロトコルを選択します。
HTTP—クライアントが送信するすべての要求を表示し、コントロールします。
HTTPS—サーバーにチャネルを提供します。 クライアントがサーバーの証明書を受け取り、検証します。
認証タイプ-次の認証タイプから選択します。
なし—追加の認証は必要ありません。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
ベーシック—HTTP ユーザー エージェントがリクエストを行う際にユーザー名とパスワードを指定するために使用されます。 Base64 エンコードを使用します。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ダイジェスト—機密情報を送信する前にアカウントを確認するために使用されます。 ネットワークを経由して送信する前に、ユーザー名およびパスワードにハッシュ機能を適用します。
プロキシ プロトコルとして HTTPS を選択した場合にのみ利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
ハイブリッド データ セキュリティ ノードとプロキシの例
この図は、ハイブリッド データ セキュリティ、ネットワーク、およびプロキシ間の接続例を示しています。 透過的な検査および HTTPS 明示的な検査プロキシ オプションの場合、同じルート証明書がプロキシとハイブリッド データ セキュリティ ノードにインストールされている必要があります。
外部 DNS 解決ブロックモード (明示的プロキシ構成)
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 内部クライアントのための外部 DNS 解決が許可されていない、明示的なプロキシ構成の展開では、ノードが DNS サーバーに問い合わせができない場合、自動的に外部 DNS 解決ブロックモードに切り替わります。 このモードでは、ノード登録および他のプロキシ接続テストを続行することができます。
ハイブリッド データ セキュリティの要件
Cisco Webex ライセンス要件
ハイブリッド データ セキュリティを展開するには:
Cisco Webex Control Hub 用の Pro Pack が必要です (https://www.cisco.com/go/pro-pack を参照してください)。
Docker デスクトップの要件
HDS ノードをインストールする前に、セットアッププログラムを実行するには Docker Desktop が必要です。 Dockerは最近、ライセンスモデルを更新しました。 組織では、Docker Desktop の有料サブスクリプションが必要な場合があります。 詳細については、Dockerのブログ記事「Dockerは製品サブスクリプションを更新および拡張しています」を参照してください。
X.509 証明書の要件
証明書チェーンは、次の要件を満たしている必要があります。
要件 | の詳細 |
|---|---|
| デフォルトでは、https://wiki.mozilla.org/CA:IncludedCAsでMozillaリスト（WoSignとStartComを除く）のCAを信頼しています。 |
| CN に到達可能またはライブホストである必要はありません。 組織を反映する名前を使用することを推奨します。たとえば、 CN に * (ワイルドカード) を含めることはできません。 CN は、Webex アプリ クライアントへのハイブリッド データ セキュリティ ノードを確認するために使用されます。 クラスタ内のすべてのハイブリッド データ セキュリティ ノードが同じ証明書を使用します。 KMS は、x.509v3 SAN フィールドで定義されているドメインではなく、CN ドメインを使用して自身を識別します。 この証明書でノードを登録すると、CN ドメイン名の変更はサポートされません。 トライアル展開と本番展開の両方に適用できるドメインを選択します。 |
| KMS ソフトウェアは、他の組織の KMS への接続を検証するための SHA1 署名をサポートしていません。 |
| OpenSSL などのコンバータを使用して、証明書の形式を変更できます。 HDSセットアップツールを実行するときは、パスワードを入力する必要があります。 |
KMS ソフトウェアは、キーの使用や拡張キーの使用制限を強制しません。 一部の証明機関では、サーバ認証など、各証明書に拡張されたキーの使用制限を適用する必要があります。 サーバー認証やその他の設定を使用してもかまいません。
仮想ホストの要件
クラスタ内のハイブリッド データ セキュリティ ノードとして設定する仮想ホストには、次の要件があります。
同じセキュア データ センターでコロケーションされた少なくとも 2 つの別のホスト (3 推奨)
VMware ESXi 6.5 (またはそれ以降) がインストールされ、実行されています。
以前のバージョンの ESXi がある場合は、アップグレードする必要があります。
最低4vCPU、8GBメインメモリ、サーバーあたり30GBのローカルハードディスク容量
データベースサーバーの要件
| キーストレージ用の新しいデータベースを作成します。 デフォルトのデータベースを使用しないでください。 HDS アプリケーションをインストールすると、データベース スキーマが作成されます。 |
データベースサーバーには2つのオプションがあります。 各要件は以下のとおりです。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） | ||
|---|---|---|---|
|
| ||
最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） | 最小8 vCPU、16 GBのメインメモリ、十分なハードディスク容量、およびそれを超えないようにするための監視（ストレージを増やす必要なく、データベースを長時間実行する場合は2 TBを推奨） |
HDS ソフトウェアは現在、データベース サーバとの通信用に次のドライバ バージョンをインストールしています。
PostgreSQLについて | Microsoft SQL Server（マイクロソフト SQL サーバー） |
|---|---|
Postgres JDBCドライバ 42.2.5 | SQL Server JDBC ドライバ 4.6 このドライババージョンは、SQL Server Always On（Always On Failover Cluster InstancesおよびAlways On availability groups）をサポートしています。 |
Microsoft SQL Server に対する Windows 認証の追加要件
HDS ノードが Windows 認証を使用して Microsoft SQL Server のキーストア データベースにアクセスできるようにするには、環境内で次の設定が必要です。
HDS ノード、Active Directory インフラストラクチャ、MS SQL Server はすべて NTP と同期する必要があります。
HDS ノードに提供する Windows アカウントは、データベースへの読み取り/書き込みアクセス権を持っている必要があります。
HDS ノードに提供する DNS サーバは、キー配布センター (KDC) を解決できる必要があります。
Microsoft SQL Server に HDS データベース インスタンスをサービス プリンシパル名 (SPN) として Active Directory に登録できます。 詳細は、Kerberos Connections のサービス プリンシパル名を登録するを参照してください。
HDS セットアップツール、HDS ランチャー、およびローカル KMS はすべて、キーストアデータベースにアクセスするために Windows 認証を使用する必要があります。 Kerberos 認証でアクセスを要求するときに、ISO 設定の詳細を使用して SPN を構築します。
外部接続の要件
HDS アプリケーションに次の接続を許可するようにファイアウォールを設定します。
アプリケーション | プロトコル | ポート | アプリからの方向 | 移動先 |
|---|---|---|---|---|
ハイブリッド データ セキュリティ ノード | TCP | 443 | アウトバウンド HTTPS および WSS |
|
HDS 設定ツール | TCP | 443 | アウトバウンド HTTPS |
|
| ハイブリッド データ セキュリティ ノードは、ネットワークアクセス変換（NAT）またはファイアウォールの後ろで動作します。ただし、NAT またはファイアウォールが前の表のドメイン宛先への必要な発信接続を許可している場合に限ります。 ハイブリッド データ セキュリティ ノードにインバウンドする接続の場合、インターネットからポートを表示することはできません。 データセンター内では、管理目的で、クライアントは TCP ポート 443 および 22 のハイブリッド データ セキュリティ ノードにアクセスする必要があります。 |
Common Identity (CI) ホストの URL は地域固有です。 これらは現在の CI ホストです。
地域 | 共通 ID ホスト URL |
|---|---|
Americas (北米、中南米エリア) |
|
欧州連合 |
|
カナダ |
|
プロキシ サーバーの要件
お使いのハイブリッド データ セキュリティ ノードと統合できる次のプロキシ ソリューションを正式にサポートしています。
透過的プロキシ—Cisco Web Security Appliance (WSA)。
明示的プロキシ—Squid。
HTTPS トラフィックを検査する Squid プロキシは、websocket (wss:) 接続の確立に干渉することができます。 接続の確立に干渉することができます。 この問題を回避するには、「ハイブリッド データ セキュリティ用の Squid プロキシの設定」を参照してください。
明示的プロキシに対して次の認証タイプの組み合わせがサポートされています。
HTTP または HTTPS による認証がありません
HTTP または HTTPS による基本認証
HTTPS のみによるダイジェスト認証
透過的検査プロキシまたは HTTPS 明示的プロキシについては、プロキシのルート証明書のコピーが必要です。 このガイドに記載されている展開手順は、ハイブリッド データ セキュリティ ノードの信頼ストアにコピーをアップロードする方法を説明しています。
HDS ノードをホストするネットワークは、ポート 443 のアウトバウンド TCP トラフィックを強制的にプロキシ経由でルーティングするように設定されている必要があります。
Web トラフィックを検査するプロキシは、Web ソケット接続に干渉する場合があります。 この問題が発生した場合、トラフィックをバイパス（検査しない）して
wbx2.comおよびciscospark.com問題を解決します。
ハイブリッド データ セキュリティの前提条件を完了する
| 1 | Webex 組織が Pro Pack for Cisco Webex Control Hub に対して有効になっていることを確認し、完全な組織管理者権限を持つアカウントの資格情報を取得します。 このプロセスについては、Cisco パートナーまたはアカウント マネージャーにお問い合わせください。 | ||
| 2 | HDS 展開のドメイン名を選択します (たとえば、 | ||
| 3 | クラスタ内のハイブリッド データ セキュリティ ノードとして設定する同一の仮想ホストを準備します。 仮想ホスト要件の要件を満たす同じセキュアデータセンターにコロケーションされた少なくとも2つの個別のホスト（3つの推奨）が必要です。 | ||
| 4 | データベースサーバーの要件に従って、クラスタのキーデータストアとして機能するデータベースサーバーを準備します。 データベースサーバーは、仮想ホストと安全なデータセンターでコロケーションする必要があります。 | ||
| 5 | 迅速な災害復旧のために、別のデータセンターにバックアップ環境を設定します。 バックアップ環境は、VMとバックアップデータベースサーバの生成環境をミラーリングします。 たとえば、本番環境に HDS ノードを実行する 3 つの仮想マシンがある場合、バックアップ環境には 3 つの VM が必要です。 | ||
| 6 | syslog ホストをセットアップして、クラスタ内のノードからログを収集します。 ネットワーク アドレスと syslog ポートを収集します（デフォルトは UDP 514）。 | ||
| 7 | ハイブリッド データ セキュリティ ノード、データベース サーバ、および syslog ホスト用のセキュア バックアップ ポリシーを作成します。 少なくとも、回復不能なデータの損失を防ぐには、ハイブリッド データ セキュリティ ノード用に生成されたデータベースと構成 ISO ファイルをバックアップする必要があります。
Webex アプリ クライアントはキーをキャッシュするため、停止がすぐに目立つことはありませんが、時間の経過とともに明らかになります。 一時的な停止を防ぐことは不可能ですが、それらは回復可能です。 ただし、データベースまたは構成のISOファイルの完全な損失(利用可能なバックアップはありません)は、回復不能な顧客データになります。 ハイブリッド データ セキュリティ ノードのオペレータは、データベースと構成 ISO ファイルの頻繁なバックアップを維持し、壊滅的な障害が発生した場合にハイブリッド データ セキュリティ データ センターを再構築する準備をする必要があります。 | ||
| 8 | ファイアウォール構成により、外部接続要件で説明されているように、ハイブリッド データ セキュリティ ノードの接続が許可されていることを確認してください。 | ||
| 9 | サポートされているOS（Microsoft Windows 10 ProfessionalまたはEnterprise 64ビット、またはMac OSX Yosemite 10.10.3以降）を実行しているローカルマシンにDocker（https://www.docker.com）をインストールし、次の場所からアクセスできます。 http://127.0.0.1:8080. Docker インスタンスを使用して、すべてのハイブリッド データ セキュリティ ノードのローカル設定情報を構築する HDS セットアップ ツールをダウンロードして実行します。 組織には Docker Desktop ライセンスが必要になる場合があります。 詳細については、「Docker デスクトップの要件」を参照してください。 HDSセットアップツールをインストールして実行するには、ローカルマシンに外部接続要件に記載されている接続性が必要です。 | ||
| 10 | プロキシとハイブリッド データ セキュリティを統合する場合は、プロキシ サーバーの要件を満たしていることを確認してください。 | ||
| 11 | 組織でディレクトリ同期を使用している場合は、Active Directory でグループを作成します。
|
ハイブリッド データ セキュリティ展開タスク フロー
始める前に
| 1 |
後で使用するために、OVA ファイルをローカル マシンにダウンロードします。 | ||
| 2 |
HDS セットアップ ツールを使用して、ハイブリッド データ セキュリティ ノードの ISO 設定ファイルを作成します。 | ||
| 3 |
OVA ファイルから仮想マシンを作成し、ネットワーク設定などの初期設定を実行します。
| ||
| 4 |
VM コンソールにサインインし、サインイン資格情報を設定します。 OVA 展開時にノードを設定しなかった場合は、ノードのネットワーク設定を構成します。 | ||
| 5 |
HDS セットアップ ツールを使用して作成した ISO 設定ファイルから VM を設定します。 | ||
| 6 |
ネットワーク環境にプロキシ設定が必要な場合は、ノードに使用するプロキシのタイプを指定し、必要に応じてプロキシ証明書を信頼ストアに追加します。 | ||
| 7 |
ハイブリッド データ セキュリティ ノードとして Cisco Webex クラウドに仮想マシンを登録します。 | ||
| 8 |
クラスタの設定を完了します。 | ||
| 9 | トライアルを実行して本番環境に移動 (次の章) トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
インストールファイルのダウンロード
| 1 | https://admin.webex.comにサインインし、「サービス」をクリックします。 | ||||
| 2 | [ハイブリッド サービス] セクションで、ハイブリッド データ セキュリティ カードを見つけて、[セットアップ] をクリックします。 カードが無効になっているか、表示されない場合は、アカウントチームまたはパートナー組織に連絡してください。 アカウント番号を入力し、組織でハイブリッド データ セキュリティを有効にするように依頼します。 アカウント番号を見つけるには、組織名の横にある右上の歯車をクリックします。
| ||||
| 3 | ノードがまだセットアップされていないことを示すにはいいえを選択し、「次へ」をクリックします。 OVAファイルは自動的にダウンロードを開始します。 ファイルをマシン上の場所に保存します。
| ||||
| 4 | 必要に応じて、［導入ガイドを開く］をクリックして、このガイドの後半バージョンが利用可能かどうかを確認します。 |
HDS ホストの設定 ISO を作成する
ハイブリッド データ セキュリティのセットアップ プロセスは、ISO ファイルを作成します。 その後、ISO を使用してハイブリッド データ セキュリティ ホストを設定します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、手順 5 で Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT生成する構成 ISO ファイルには、PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーが含まれています。 次のように、設定を変更するたびに、このファイルの最新のコピーが必要です。
データベースの資格情報
証明書の更新
承認ポリシーの変更
データベース接続を暗号化する場合は、TLS 用の PostgreSQL または SQL Server 展開をセットアップします。
| 1 | マシンのコマンド ラインで、お使い環境に適切なコマンドを入力します。 一般環境: FedRAMP 環境の場合:
| ||||||||||||
| 2 | Docker 画像レジストリにサインインするには、以下を入力します。 | ||||||||||||
| 3 | パスワードのプロンプトに対して、このハッシュを入力します。 | ||||||||||||
| 4 | お使い環境に合った最新の安定した画像をダウンロードします。 一般環境: FedRAMP 環境の場合: | ||||||||||||
| 5 | プルが完了したら、お使いの環境に適切なコマンドを入力します。
コンテナが実行中の時。「ポート 8080 で Express サーバー リスニング中」と表示されます。 | ||||||||||||
| 6 |
Web ブラウザを使用して localhost に移動し、 このツールは、ユーザー名の最初のエントリを使用して、そのアカウントの適切な環境を設定します。 このツールには、標準のサインインプロンプトが表示されます。 | ||||||||||||
| 7 | プロンプトが表示されたら、Control Hub の顧客管理者のサインイン資格情報を入力し、[ログイン] をクリックして、ハイブリッド データ セキュリティに必要なサービスへのアクセスを許可します。 | ||||||||||||
| 8 | [セットアップツールの概要] ページで、[はじめに] をクリックします。 | ||||||||||||
| 9 | ［ISOインポート］ページには、次のオプションがあります。
| ||||||||||||
| 10 | X.509 証明書がX.509 証明書要件の要件を満たしていることを確認してください。
| ||||||||||||
| 11 | HDS のデータベース アドレスとアカウントを入力して、キー データストアにアクセスします。 | ||||||||||||
| 12 | TLS データベース接続モードを選択します。
ルート証明書をアップロードし（必要に応じて）、［続行］をクリックすると、HDS Setup Tool がデータベース サーバへの TLS 接続をテストします。 また、必要に応じて、証明書の署名者とホスト名も検証されます。 テストが失敗した場合、問題を説明するエラー メッセージがツールによって表示されます。 エラーを無視してセットアップを続行するかどうかを選択できます。 （接続性の違いにより、HDS Setup Tool マシンが正常にテストできない場合でも、HDS ノードは TLS 接続を確立できる場合があります）。 | ||||||||||||
| 13 | [システムログ（System Logs）] ページで、Syslogd サーバを設定します。 | ||||||||||||
| 14 | （オプション）一部のデータベース接続パラメータのデフォルト値は、［詳細設定］で変更できます。 通常、このパラメータは、変更する可能性のある唯一のパラメータです。 | ||||||||||||
| 15 | [サービスアカウントのパスワードをリセット] 画面の [続行] をクリックします。 サービスアカウントのパスワードは9ヶ月の寿命を持っています。 パスワードの有効期限が近づいている場合、または以前の ISO ファイルを無効にするためにパスワードをリセットする場合は、この画面を使用します。 | ||||||||||||
| 16 | [ISOファイルのダウンロード] をクリックします。 見つけやすい場所にファイルを保存します。 | ||||||||||||
| 17 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||||||||||||
| 18 | セットアップ ツールをシャットダウンするために次のように入力します。 |
次に行うこと
設定 ISO ファイルをバックアップします。 リカバリのためにより多くのノードを作成したり、設定を変更したりする必要があります。 ISOファイルのコピーをすべて失うと、マスターキーも失われます。 PostgreSQL または Microsoft SQL Server データベースからキーを回復することはできません。
| 私たちはこのキーのコピーを持っていないし、あなたがそれを失ったら助けることができません。 |
HDS ホスト OVA のインストール
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインします。 | ||||||
| 2 | ファイル > OVF テンプレートを展開を選択します。 | ||||||
| 3 | ウィザードで、先ほどダウンロードしたOVAファイルの場所を指定し、 をクリックします。 次へだ | ||||||
| 4 | の 名前とフォルダを選択ページ、を入力します 仮想マシン名ノード（たとえば、「HDS_Node_1」）で、仮想マシンノードの展開が可能な場所を選択し、次へだ | ||||||
| 5 | の 計算リソースを選択ページで、宛先計算リソースを選択し、をクリックします。 次へだ 検証チェックが実行されます。 完了すると、テンプレートの詳細が表示されます。 | ||||||
| 6 | テンプレートの詳細を確認し、［次へ］をクリックします。 | ||||||
| 7 | のリソース設定を選択するよう求められた場合 設定ページ、をクリックします。 4 CPU をクリックし、 をクリックします。 次へだ | ||||||
| 8 | の ストレージを選択ページ、をクリックします。 次へは、デフォルトのディスク形式とVMストレージポリシーを受け入れます。 | ||||||
| 9 | の ネットワークを選択ページで、エントリのリストからネットワークオプションを選択し、仮想マシンへの接続を提供します。 | ||||||
| 10 | [テンプレートのカスタマイズ] ページで、次のネットワーク設定を構成します。
必要に応じて、ネットワーク設定の構成をスキップし、[ハイブリッド データ セキュリティ VM のセットアップ] の手順に従って、ノード コンソールから設定を構成できます。
| ||||||
| 11 | ノードVMを右クリックし、だ ハイブリッド データ セキュリティ ソフトウェアは、VM ホストにゲストとしてインストールされます。 これで、コンソールにサインインしてノードを設定する準備ができました。 トラブルシューティングのヒント ノード コンテナーが出てくるまでに、数分間の遅延がある場合があります。 初回起動の間、ブリッジ ファイアウォール メッセージが、コンソールに表示され、この間はサイン インできません。 |
ハイブリッド データ セキュリティ VM のセットアップ
この手順を使用して、ハイブリッド データ セキュリティ ノード VM コンソールに初めてサインインし、サインイン クレデンシャルを設定します。 OVA 展開時に設定しなかった場合は、コンソールを使用してノードのネットワーク設定を構成することもできます。
| 1 | VMware vSphere クライアントで、ハイブリッド データ セキュリティ ノード VM を選択し、[コンソール] タブを選択します。 VM が起動し、ログインプロンプトが表示されます。 ログインプロンプトが表示されない場合は、 入力を押してください。
|
| 2 | 次のデフォルトのログインとパスワードを使用してサインインし、資格情報を変更します。 初めて仮想マシンにサインインするため、管理者パスワードを変更する必要があります。 |
| 3 | ［HDS ホスト OVA のインストール］でネットワーク設定をすでに設定している場合は、残りの手順をスキップします。 それ以外の場合は、メインメニューで［設定の編集］オプションを選択します。 |
| 4 | IP アドレス、マスク、ゲートウェイ、DNS 情報を含む静的設定をセットアップします。 ノードには内部 IP アドレスと DNS 名が必要です。 DHCP はサポートされていません。 |
| 5 | (オプション) ネットワーク ポリシーと一致する必要がある場合は、ホスト名、ドメイン、または NTP サーバを変更します。 X.509 証明書を取得するために使用したドメインと一致するようにドメインを設定する必要はありません。 |
| 6 | ネットワーク設定を保存し、仮想マシンを再起動して、変更を有効にします。 |
HDS 設定 ISO のアップロードとマウント
始める前に
ISOファイルはマスターキーを保持しているため、Hybrid Data Security VMおよび変更が必要な管理者によるアクセスのために、「知る必要性」に基づいてのみ公開する必要があります。 これらの管理者だけがデータストアにアクセスできることを確認してください。
| 1 | コンピュータから ISO ファイルをアップロードします。 |
| 2 | ISO ファイルをマウントします。 |
次に行うこと
IT ポリシーが必要な場合は、すべてのノードが設定変更をピックアップした後、オプションで ISO ファイルのマウントを解除できます。 詳細については、「(オプション) HDS 設定後に ISO のマウント解除 」を参照してください。
プロキシ統合のために HDS ノードを設定する
ネットワーク環境でプロキシが必要な場合は、この手順を使用して、ハイブリッド データ セキュリティと統合するプロキシのタイプを指定します。 透過型のプロキシまたは HTTPS を明示的なプロキシを選択した場合、ノードのインターフェイスを使用してルート証明書をアップロードしてインストールすることができます。 インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。
始める前に
サポートされているプロキシオプションの概要については、プロキシサポートを参照してください。
| 1 | HDS ノードのセットアップ URL を入力 |
| 2 | [信頼ストアとロキシ] に移動して、次のオプションを選択します。
透過型検査プロキシ、基本認証を持つ HTTP 明示プロキシ、または HTTPS 明示プロキシについては、次のステップに従ってください。 |
| 3 | [ルート証明書またはエンティティ終了証明書のアップロード] をクリックし、プロキシのルート証明書を選択するために移動します。 証明書はアップロードされていますが、まだインストールされていません。証明書をインストールするにはノードを再起動する必要があります。 証明書発行者名の山形矢印をクリックして詳細を確認するか、間違っている場合は [削除] をクリックして、ファイルを再度アップロードしてください。 |
| 4 | [プロキシ接続を確認する] をクリックして、ノードとプロキシ間のネットワーク接続性をテストします。 接続テストが失敗した場合は、エラーメッセージが表示され、問題を解決するための理由と方法が示されます。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しています。 この状況は、多くの明示的なプロキシ構成で想定されています。 セットアップを続行すると、ノードは外部 DNS 解決ブロックモードで機能します。 これがエラーと思われる場合は、次の手順を実行し、「ブロックされた外部 DNS 解決モードをオフにする」を参照してください。 |
| 5 | 接続テストが成功した後、明示的なプロキシについては https のみに設定し、このノードからの すべてのポートの 443/444 https 要求を明示的プロキシを通してルーティングするように切り替えます。 この設定を有効にするには 15 秒かかります。 |
| 6 | [すべての証明書を信頼ストアにインストールする(HTTPS 明示プロキシまたは透過型のプロキシで表示される)] または [再起動] をクリックして、プロンプトを読み、準備が完了したら [インストール] をクリックします。 ノードが数分以内に再起動されます。 |
| 7 | ノードが再起動したら、必要に応じて再度サインインして、[概要] ページを開き、接続チェックを確認してすべて緑色のステータスになっていることを確認します。 プロキシ接続の確認は webex.com のサブドメインのみをテストします。 接続の問題がある場合、インストール手順に記載されているクラウド ドメインの一部がプロキシでブロックされているという問題がよく見られます。 |
クラスタ内の最初のノードを登録する
最初のノードを登録するとき、クラスターをノードが指定されている場所に作成します。 クラスタには、冗長性を提供するために展開された 1 つ以上のノードが含まれています。
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | https://admin.webex.comにサインインします。 |
| 2 | スクリーンの左側にあるメニューからサービスを選択します。 |
| 3 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[セットアップ] をクリックします。 [ハイブリッド データ セキュリティ ノードの登録] ページが表示されます。
|
| 4 | ノードを設定し、登録する準備ができていることを示すには、「はい」を選択し、「次へ」をクリックします。 |
| 5 | 最初のフィールドに、ハイブリッド データ セキュリティ ノードを割り当てるクラスタの名前を入力します。 クラスタのノードが地理的にどこに配置されているかに基づきクラスタに名前を付けることをお薦めします。 例: 「サンフランシスコ」「ニューヨーク」「ダラス」 |
| 6 | 2 番目のフィールドに、ノードの内部 IP アドレスまたは完全修飾ドメイン名（FQDN）を入力し、[次へ] をクリックします。 この IP アドレスまたは FQDN は、ハイブリッド データ セキュリティ VM のセットアップ で使用した IP アドレスまたはホスト名とドメインと一致する必要があります。 ノードを Webex に登録できることを示すメッセージが表示されます。
|
| 7 | [ノードに進む] をクリックします。 |
| 8 | 警告メッセージの [続ける] をクリックします。 しばらくすると、Webex サービスのノード接続テストにリダイレクトされます。 すべてのテストが成功すると、[ハイブリッド データ セキュリティ ノードへのアクセスを許可（Allow Access to Hybrid Data Security Node）] ページが表示されます。 ここで、ノードにアクセスする権限を Webex 組織に付与することを確認します。
|
| 9 | [ハイブリッド データ セキュリティ ノードへのアクセスを許可] チェックボックスをオンにして、[続行] をクリックします。 アカウントが検証され、「登録完了」メッセージは、ノードが Webex クラウドに登録されたことを示します。
|
| 10 | リンクをクリックするか、タブを閉じて、[Control Hub ハイブリッド データ セキュリティ] ページに戻ります。 [ハイブリッド データ セキュリティ] ページで、登録したノードを含む新しいクラスタが表示されます。 ノードはクラウドから最新のソフトウェアを自動的にダウンロードします。
|
より多くのノードを作成して登録する
| 現時点では、「ハイブリッド データ セキュリティの前提条件を完了」で作成したバックアップ VM は、ディザスタ リカバリーの場合にのみ使用されるスタンバイ ホストであり、それまではシステムに登録されていません。 詳細については、「スタンバイデータセンターを使用した災害復旧」を参照してください。 |
始める前に
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
ブラウザのポップアップ ブロッカーが無効になっているか、または admin.webex.com の例外を許可していることを確認してください。
| 1 | OVA から新しい仮想マシンを作成し、「HDS ホスト OVA のインストール」の手順を繰り返します。 |
| 2 | 新しい仮想マシンで初期設定を行い、「ハイブリッド データ セキュリティ 仮想マシンのセットアップ」の手順を繰り返します。 |
| 3 | 新しい VM で、「Upload and Mount the HDS Configuration ISO」の手順を繰り返します。 |
| 4 | 展開のプロキシを設定する場合は、新しいノードに必要に応じ「プロキシ統合の HDS ノードを設定する」の手順を繰り返します。 |
| 5 | ノードを登録します。 ノードが登録されています。 トライアルを開始するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成することに注意してください。
|
次に行うこと
プロダクション タスク フローへの試行
ハイブリッド データ セキュリティ クラスタをセットアップした後、パイロットを起動し、ユーザーを追加し、本番環境への移行に備えて展開のテストと検証に使用を開始できます。
| 1 | 必要に応じて、 組織でユーザーのディレクトリ同期を使用している場合は、 |
| 2 |
トライアルを開始します。 このタスクを実行するまで、ノードはサービスがまだアクティブ化されていないことを示すアラームを生成します。 |
| 3 |
重要な要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
| 4 |
ステータスを確認し、アラームのメール通知を設定します。 |
| 5 | |
| 6 | 以下のいずれかの操作を行い、治験の段階を完了します。 |
トライアルの有効化
始める前に
組織でユーザーのディレクトリ同期を使用している場合は、 HdsTrialGroup 組織のトライアルを開始する前に、クラウドに同期するためのグループ オブジェクト。 手順については、 Cisco Directory Connector 展開ガイドを参照してください。
| 1 | https://admin.webex.comにサインインし、「サービス」を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[トライアルの開始] をクリックします。 サービス ステータスがトライアル モードに変わります。
|
| 4 | [ユーザーの追加] をクリックし、暗号化およびインデックスサービスのためにハイブリッド データ セキュリティ ノードを使用してパイロットする 1 人以上のユーザーのメール アドレスを入力します。 (組織がディレクトリ同期を使用している場合は、Active Directory を使用してトライアル グループを管理します。 |
ハイブリッド データ セキュリティ展開をテストする
始める前に
ハイブリッド データ セキュリティの展開をセットアップします。
トライアルを有効にし、複数のトライアル ユーザーを追加します。
キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認するために、syslog にアクセスできることを確認します。
| 1 | 特定のスペースのキーは、スペースの作成者によって設定されます。 パイロットユーザーの 1 人として Webex アプリにサインインし、スペースを作成し、少なくとも 1 人のパイロットユーザーと 1 人の非パイロットユーザーを招待します。
| ||
| 2 | 新しいスペースにメッセージを送信します。 | ||
| 3 | syslog 出力をチェックして、キー要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
ハイブリッド データ セキュリティの健全性を監視する
| 1 | Control Hubで、画面左側のメニューからサービスを選択します。 |
| 2 | [ハイブリッド サービス] セクションで、[ハイブリッド データ セキュリティ] を見つけ、[設定] をクリックします。 [ハイブリッド データ セキュリティ設定] ページが表示されます。
|
| 3 | [メール通知] セクションで、カンマで区切られた 1 つ以上のメールアドレスを入力し、[Enter] を押します。 |
トライアルからユーザーを追加または削除する
トライアルからユーザーを削除すると、ユーザーのクライアントは KMS ではなく、クラウド KMS からキーとキーの作成を要求します。 クライアントが KMS に保存されているキーを必要とする場合、クラウド KMS はユーザーに代わってキーを取得します。
組織がディレクトリ同期を使用している場合、Active Directory (この手順の代わりに) を使用してトライアル グループを管理します。 HdsTrialGroup; Control Hub でグループメンバーを表示できますが、追加または削除することはできません。
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] 領域の [トライアルモード（Trial Mode）] セクションで、[ユーザーの追加（Add Users）] をクリックするか、[表示と編集] をクリックしてユーザーをトライアルから削除します。 |
| 4 | 追加する 1 人以上のユーザーのメールアドレスを入力するか、ユーザー ID の X をクリックしてユーザーをトライアルから削除します。 その後、[保存] をクリックします。 |
トライアルからプロダクションへの移行
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | [サービスステータス（Service Status）] セクションで、[本番環境に移動] をクリックします。 |
| 4 | すべてのユーザーを本番環境に移行することを確認します。 |
本番環境に移行せずにトライアルを終了する
| 1 | Control Hub にサインインし、[サービス] を選択します。 |
| 2 | [ハイブリッド データ セキュリティ（Hybrid Data Security）] で、[設定] をクリックします。 |
| 3 | 「Deactivate（無効化）」セクションで「Deactivate（無効化）」をクリックします。 |
| 4 | サービスを無効にしてトライアルを終了することを確認します。 |
HDS 展開の管理
ここで説明するタスクを使用して、ハイブリッド データ セキュリティの展開を管理します。
クラスタアップグレードスケジュールの設定
アップグレードスケジュールを設定するには:
| 1 | Control Hub にサインインします。 |
| 2 | [概要] ページの [ハイブリッド サービス] で、[ハイブリッド データ セキュリティ] を選択します。 |
| 3 | [ハイブリッド データ セキュリティ リソース] ページで、クラスタを選択します。 |
| 4 | 右側の [概要] パネルの [クラスタ設定] で、クラスタ名を選択します。 |
| 5 | 設定ページのアップグレードの下で、アップグレードのスケジュール設定を希望する時間およびタイムゾーンを選択します。 メモ: タイムゾーンの下に、次に可能なアップグレードの日時が表示されます。 必要に応じて、[延期] をクリックすることでアップグレードを翌日に延期することもできます。 |
ノードの設定を変更する
有効期限が切れる、または他の理由による、x.509 証明書の変更。
証明書の CN ドメイン名の変更はサポートされていません。 ドメインは、クラスターを登録するために使用される元のドメインと一致する必要があります。
データベース設定を更新して、PostgreSQL または Microsoft SQL Server データベースのレプリカを変更します。
PostgreSQL から Microsoft SQL Server への、またはその逆へのデータ移行はサポートしていません。 データベース環境を切り替えるには、ハイブリッド データ セキュリティの新しい展開を開始します。
新しい構成を作成して新しいデータセンターの準備をする。
また、セキュリティ上の理由により、ハイブリッド データ セキュリティは 9 か月間使用可能なサービス アカウント パスワードを使用します。 HDS セットアップ ツールがこれらのパスワードを生成した後で、ISO 構成ファイルの各 HDS ノードに展開します。 組織のパスワードの有効期限切れが近い場合、Webex チームから「パスワード期限切れ通知」を受け取り、マシン アカウントのパスワードのリセットを求められます。 (メールにはテキスト「マシン アカウント API を使用してパスワードを更新します」を含みます。) パスワードの有効期限が切れるまで時間が十分にある場合、ツールには次の 2 つのオプションがあります:
ソフト リセット— 古いパスワードと新しいパスワードは最大 10 日間有効です。 この期間を使用して、ノードの ISO ファイルを段階的に置き換えることができます。
ハード リセット—古いパスワードは即時に機能を停止します。
パスワードをリセットせずに期限切れになる場合、HDS サービスに影響を与える可能性があります。すぐにハード リセットし、すべてのノードの ISO ファイルを置換する必要があります。
この手順を使用して、新しい構成 ISO ファイルを生成し、クラスターに適用します。
始める前に
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。 アクセスするには、そのマシンで Docker を実行します。 セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS Setup ツールが環境内のプロキシの後ろで実行されている場合は、1.eで Docker コンテナを起動するときに、Docker 環境変数を使用してプロキシ設定（サーバ、ポート、クレデンシャル）を提供します。 この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT認証ありの HTTP プロキシ
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT新しい構成を生成するには、現在の構成 ISO ファイルのコピーが必要です。 ISO には PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーを含むです。 データベースの証明書、証明書の更新、認証方針への変更を含む、構成の変更を行った場合は ISO が必要です。
| 1 | ローカル マシンで Docker を使用し、HDS セットアップ ツールを実行します。
| ||||||
| 2 | を実行している HDS ノードが 1 個のみある場合、新しいノード VM を作成し、新しいハイブリッド データ セキュリティ ノード VM を作成し、新しい構成 ISO ファイルを使用してそれを登録します。 手順の詳細については、「追加のノードを作成して登録する」を参照してください。 | ||||||
| 3 | 古い構成ファイルを実行している既存の HDS ノードの場合、ISO ファイルをマウントします。 各ノードで以下の手順を実行し、次のノードをオフにする前に、各ノードを更新します。 | ||||||
| 4 | ステップ 3 を繰り返し、古い構成ファイルを実行している残りの各ノードで構成を置き換えます。 |
外部 DNS 解決ブロックモードをオフにする
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。 ノードの DNS サーバーがパブリック DNS 名を解決できない場合、ノードは自動的に外部 DNS 解決ブロックモードに進みます。
ノードが内部 DNS サーバーを通してパブリック DNS 名を解決できる場合、各ノードでプロキシ接続テストを再実行することで、このモードをオフにすることができます。
始める前に
| 1 | Web ブラウザで、ハイブリッド データ セキュリティ ノード インターフェイス (IP アドレス/セットアップ、たとえば、ノードに設定した管理者資格情報をhttps://192.0.2.0/setup), 入力し、[サインイン] をクリックします。 |
| 2 | [概要] (デフォルトページ) に移動します。 有効になっている場合、 [外部 DNS 解決ブロック] は [はい] に設定されています。 |
| 3 | [信頼ストアとプロキシ] ページに移動します。 |
| 4 | [プロキシ接続を確認する] をクリックします。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しており、このモードに留まっています。 そうでない場合には、ノードを再起動して[概要] ページに戻ると、[外部 DNS 解決ブロック] は [いいえ] に設定されるはずです。 |
次に行うこと
ノードの削除
| 1 | コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想ホストにログインし、仮想マシンの電源を切ります。 |
| 2 | ノードを削除します。 |
| 3 | vSphere クライアントで、仮想マシンを削除します (左側のナビゲーションペインで、仮想マシンを右クリックし、[削除] をクリックします)。 仮想マシンを削除しない場合は、設定の ISO ファイルのマウントを解除することを忘れないでください。 ISO ファイルがないと、VM を使用してセキュリティ データにアクセスすることはできません。 |
スタンバイデータセンターを使用したディザスタ リカバリ
ハイブリッド データ セキュリティ クラスタが提供する最も重要なサービスは、Webex クラウドに保存されているメッセージやその他のコンテンツを暗号化するために使用されるキーの作成と保存です。 ハイブリッド データ セキュリティに割り当てられている組織内の各ユーザーについて、新しいキー作成要求がクラスタにルーティングされます。 また、クラスタは、作成したキーを、カンバセーションスペースのメンバーなど、取得を許可されたユーザーに返却する責任があります。
クラスタは、これらのキーを提供するという重要な機能を実行するため、クラスタが実行され、適切なバックアップが維持されることが不可欠です。 ハイブリッド データ セキュリティ データベースまたはスキーマに使用されている構成 ISO が失われると、顧客のコンテンツが回復不能に失われます。 このような損失を防ぐには、以下の慣行が必須です。
災害により、プライマリデータセンターの HDS 展開が使用できなくなる場合は、次の手順に従って、スタンバイデータセンターに手動でフェールオーバーします。
| 1 | HDS Setupツールを起動し、「HDSホストの設定ISOを作成する」の手順に従います。 | ||
| 2 | Syslogdサーバーを構成した後、[詳細設定]をクリックします。 | ||
| 3 | ［詳細設定］ページで、以下の設定を追加するか、
| ||
| 4 | 構成プロセスを完了し、見つけやすい場所にISOファイルを保存します。 | ||
| 5 | ローカルシステム上のISOファイルのバックアップコピーを作成します。 バックアップコピーを安全に保管してください。 このファイルには、データベースコンテンツのマスター暗号化キーが含まれています。 構成を変更する必要があるハイブリッド データ セキュリティ管理者のみへのアクセスを制限します。 | ||
| 6 | VMware vSphere クライアントの左側のナビゲーションペインで、仮想マシンを右クリックし、[設定の編集] をクリックします。 | ||
| 7 | ［設定の編集］>［CD/DVDドライブ1］をクリックし、［データストアISOファイル］を選択します。
| ||
| 8 | HDS ノードの電源を入れ、少なくとも 15 分間アラームがないことを確認します。 | ||
| 9 | スタンバイデータセンター内のすべてのノードに対してプロセスを繰り返します。
|
次に行うこと
（オプション）HDS設定後にISOをアンマウントする
標準の HDS 構成は、ISO マウントで実行されます。 しかし、一部の顧客は、ISOファイルを継続的にマウントしたままにしないことを好みます。 すべての HDS ノードが新しい設定をピックアップした後、ISO ファイルのマウントを解除できます。
ISO ファイルを使用して、設定を変更します。 新しい ISO を作成するか、セットアップツールを使用して ISO を更新する場合は、更新された ISO をすべての HDS ノードにマウントする必要があります。 すべてのノードが設定変更をピックアップしたら、この手順で再び ISO のマウントを解除できます。
始める前に
すべての HDS ノードをバージョン 2021.01.22.4720 以降にアップグレードします。
| 1 | 1 つの HDS ノードをシャットダウンします。 |
| 2 | vCenter Server Appliance で、HDS ノードを選択します。 |
| 3 | を選択し、［データストアISOファイル］のチェックを外します。 |
| 4 | HDS ノードの電源を入れ、少なくとも 20 分間アラームがないことを確認します。 |
| 5 | HDS ノードごとに順番に繰り返します。 |
アラートとトラブルシューティングの表示
ハイブリッド データ セキュリティの展開は、クラスタ内のすべてのノードに到達できない場合、またはクラスタが非常にゆっくりと動作しているため、要求がタイムアウトした場合、利用できないと見なされます。 ユーザーがハイブリッド データ セキュリティ クラスタに到達できない場合、次の症状が発生します。
新しいスペースを作成できません (新しいキーを作成できません)
メッセージとスペース タイトルの復号に失敗する:
新規ユーザーがスペースに追加されました (キーを取得できません)
新しいクライアントを使用するスペース内の既存のユーザー (キーを取得できません)
スペース内の既存のユーザーは、クライアントが暗号化キーのキャッシュを持っている限り、正常に動作し続けます。
ハイブリッド データ セキュリティ クラスタを適切に監視し、サービスの中断を避けるために速やかにアラートに対処することが重要です。
警告
ハイブリッド データ セキュリティのセットアップに問題がある場合、Control Hub は組織管理者にアラートを表示し、設定されたメール アドレスにメールを送信します。 アラートは、多くの一般的なシナリオをカバーしています。
警告 | アクション |
|---|---|
ローカル データべースへのアクセスに失敗しました。 |
データベース エラーまたはローカル ネットワークの問題を確認します。 |
ローカルデータベース接続に失敗しました。 |
データベース サーバが使用可能であり、ノード設定で適切なサービス アカウント クレデンシャルが使用されていることを確認します。 |
クラウド サービスへのアクセスに失敗しました。 |
外部接続要件で指定されているように、ノードが Webex サーバーにアクセスできることを確認します。 |
クラウドサービス登録の更新。 |
クラウドサービスへの登録が削除されました。 登録の更新が進行中です。 |
クラウドサービスの登録が削除されました。 |
クラウドサービスへの登録が終了しました。 サービスが停止しています。 |
サービスはまだアクティベートされていません。 |
トライアルを有効にするか、トライアルを本番環境に移行します。 |
設定されたドメインがサーバー証明書と一致しません。 |
サーバー証明書が設定されたサービス アクティベーション ドメインと一致していることを確認します。 最も可能性の高い原因は、証明書 CN が最近変更され、初期設定で使用された CN とは異なるようになったためです。 |
クラウド サービスの認証に失敗しました。 |
サービスアカウントの資格情報の正確さと有効期限の可否を確認します。 |
ローカル キーストア ファイルを開くことができませんでした。 |
ローカル キーストア ファイルの整合性とパスワードの正確性を確認します。 |
ローカルサーバー証明書が無効です。 |
サーバ証明書の有効期限を確認し、信頼できる認証局によって発行されていることを確認します。 |
メトリクスを投稿できません。 |
外部クラウド サービスへのローカル ネットワーク アクセスを確認します。 |
/media/configdrive/hds ディレクトリが存在しません。 |
仮想ホストの ISO マウント設定を確認します。 ISO ファイルが存在すること、再起動時にマウントするように設定されていること、正常にマウントされていることを確認します。 |
ハイブリッド データ セキュリティのトラブルシューティング
| 1 | アラートについては Control Hub を確認し、見つかった項目を修正します。 |
| 2 | ハイブリッド データ セキュリティ展開からのアクティビティの syslog サーバー出力を確認します。 |
| 3 | Cisco サポート にお問い合わせください。 |
ハイブリッド データ セキュリティの既知の問題
ハイブリッド データ セキュリティ クラスタをシャットダウンする (Control Hub で削除するか、すべてのノードをシャットダウンする)、構成 ISO ファイルを失う、またはキーストア データベースへのアクセスを失う場合、Webex アプリのユーザーは、KMS のキーを使用して作成された [ユーザー] リストの下のスペースを使用できなくなります。 これは、トライアル展開と本番展開の両方に適用されます。 現在、この問題の回避策や修正はありません。HDS サービスがアクティブなユーザー アカウントを処理したら、HDS サービスをシャットダウンしないようにしてください。
KMS への既存の ECDH 接続を持つクライアントは、その接続を一定期間 (おそらく 1 時間) 維持します。 ユーザーがハイブリッド データ セキュリティ トライアルのメンバーになると、ユーザーのクライアントは、タイムアウトするまで既存の ECDH 接続を引き続き使用します。 代わりに、ユーザーは Webex アプリ アプリにサインアウトして再度ログインして、アプリが暗号化キーの連絡先を更新できます。
同じ動作は、組織のトライアルを本番環境に移行する場合にも発生します。 以前のデータ セキュリティ サービスへの既存の ECDH 接続を持つすべての非トライアル ユーザーは、ECDH 接続が再ネゴシエートされるまで (タイムアウトまたはサインアウトして戻る)、これらのサービスを使用し続けます。
OpenSSL を使用して PKCS12 ファイルを生成する
始める前に
OpenSSLは、HDSセットアップツールでロードするための適切な形式でPKCS12ファイルを作成するために使用できるツールの1つです。 これを行うには他の方法があり、私たちは別の方法よりも支持または促進しません。
OpenSSLを使用することを選択した場合は、X.509証明書要件を満たすファイルを作成するのに役立つガイドラインとして、この手順を提供しています。 X.509 証明書の要件は... 続行する前にこれらの要件を理解してください。
サポートされている環境で OpenSSL をインストールします。 ソフトウェアとマニュアルについてはhttps://www.openssl.orgを参照してください。
秘密鍵を作成します。
認証局（CA）からサーバ証明書を受け取ったら、この手順を開始します。
| 1 | CA からサーバー証明書を受け取ったら、次のように保存します。 |
| 2 | 証明書をテキストとして表示し、詳細を確認します。
|
| 3 | テキスト エディタを使用して、証明書バンドル ファイルを作成します。
|
| 4 | 親しみやすい名前で .p12 ファイルを作成する
|
| 5 | サーバ証明書の詳細を確認してください。 |
次に行うこと
「 ハイブリッド データ セキュリティの前提条件を満たす」に戻ります。 次を使用します: hdsnode.p12［HDSホストの設定ISOの作成］で設定したファイルとパスワード。
| これらのファイルを再使用して、元の証明書の有効期限が切れたときに新しい証明書を要求できます。 |
HDS ノードとクラウド間のトラフィック
アウトバウンドメトリック収集トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドに特定のメトリックを送信します。 これには、ヒープ最大、使用されるヒープ、CPU 負荷、およびスレッド数のシステムメトリクス、同期スレッドと非同期スレッドのメトリクス、暗号化接続のしきい値、遅延、またはリクエストキュー長を含むアラートのメトリクス、データストアのメトリクス、および暗号化接続メトリックが含まれます。 ノードは、（リクエストとは別に）帯域外チャネル上で暗号化されたキー素材を送信します。
着信トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドから次のタイプのインバウンド トラフィックを受信します。
暗号化サービスによってルーティングされるクライアントからの暗号化要求
ノード ソフトウェアへのアップグレード
ハイブリッド データ セキュリティの Squid プロキシを設定する
Websocket は Squid プロキシを通じて接続できません
Mサイズは箱入りとなります Sサイズは箱なしでのラッピングとなります ギフトボックス・ラッピングについて ＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿ wss:) ハイブリッド データ セキュリティが必要とする接続。 これらのセクションでは、無視するためにさまざまなバージョンの Squid を設定する方法について説明します。 wss: これは、サービスの適切な運用のためのトラフィックです。
Squid 4 および5
次を追加します: on_unsupported_protocol 指示する squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
次のルールが追加され、ハイブリッド データ セキュリティが正常にテストされました。 squid.conf です。 これらのルールは、機能を開発し、Webex クラウドを更新する際に変更されることがあります。
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all序文
新規および変更された情報
|
日付 |
変更履歴 |
|---|---|
|
2023年10月20日。 |
|
|
2023 年 8 月 7 日 |
|
|
2023 年 5 月 23 日 |
|
|
2022 年 12 月 6 日 |
|
|
2022 年 11 月 23 日 |
|
|
2021 年 10 月 13 日 |
HDS ノードをインストールする前に、Docker デスクトップがセットアップ プログラムを実行する必要があります。「Docker デスクトップの要件」を参照してください。 |
|
2017 年 6 月 24 日 |
秘密鍵ファイルと CSR を再使用して別の証明書を要求することができることに注意してください。詳細については、「OpenSSL を使用して PKCS12 ファイルを生成する 」を参照してください。 |
| 2021 年 4 月 30 日 |
ローカルハードディスク領域の VM 要件を 30 GB に変更しました。詳細については、仮想主催者の要件 を参照してください。 |
|
2021 年 2 月 24 日 |
HDS セットアップ ツールは、プロキシの背後に実行できるようになりました。詳細については、「HDS ホストの構成 ISO を作成する 」を参照してください。 |
|
2021 年 2 月 2 日 |
HDS は、マウントされた ISO ファイルなしで実行できるようになりました。詳細については、「(オプション) HDS 設定後に ISO をマウント解除 」を参照してください。 |
|
2021 年 1 月 11 日 |
HDS ホストの構成 ISO を作成するために、HDS セットアップ ツールとプロキシに関する情報を追加しました。 |
|
2020/10/13 |
「インストールファイルのダウンロード」を更新しました。 |
|
2020/10/08 |
「HDS ホストの構成 ISO の作成 」および「ノード構成の変更 」を FedRAMP 環境のコマンドで更新しました。 |
|
2020 年 8 月 14 日 |
「HDS ホストの構成 ISO の作成 」と「ノード構成の変更 」を更新し、サインイン プロセスに変更を加えます。 |
|
2020年8月5日水曜日 |
ログ メッセージの変更について、「ハイブリッド データ セキュリティ 展開のテスト 」を更新しました。 仮想ホスト要件 を更新し、最大ホスト数を削除しました。 |
|
2020 年 6 月 16 日 |
Control Hub UI の変更について、「ノードの削除 」を更新しました。 |
|
2020 年 6 月 4 日 |
設定可能な詳細設定の変更のために、「HDS ホストの構成 ISO を作成する 」を更新しました。 |
|
2020 年 5 月 29 日 |
「HDS ホストの構成 ISO の作成 」を更新し、SQL Server データベース、UI 変更、その他の明確化で TLS を使用できることを示します。 |
|
2020 年 5 月 5 日 |
「仮想ホスト要件 」を更新し、ESXi 6.5 の新しい要件を表示します。 |
|
2020 年 4 月 21 日 |
新しい Americas CI ホストで外部接続要件 を更新しました。 |
|
2020 年 4 月 1 日 |
地域 CI 主催者に関する情報で外部接続要件 を更新しました。 |
| 2020年2月20日水曜日 | 「HDS 主催者の構成 ISO の作成 」を更新し、HDS セットアップ ツールの新しいオプションの詳細設定画面に関する情報を提供します。 |
| 2020年2月4日 | プロキシ サーバー要件を更新しました。 |
| 2019年12月16日 | プロキシ サーバー要件でブロックされた外部 DNS 解決モードが動作する要件を明確にしました。 |
| 2019 年 11 月 19 日 |
次のセクションで、ブロックされた外部 DNS 解決モードに関する情報を追加しました。 |
|
2019 年 11 月 8 日 |
その後ではなく、OVA を展開するときに、ノードのネットワーク設定を構成できるようになりました。 以下のセクションを適宜更新しました。 OVA 展開中にネットワーク設定を構成するオプションは、ESXi 6.5 でテストされています。このオプションは以前のバージョンでは利用できない場合があります。 |
|
2019年9月6日水曜日 |
データベース サーバー要件に SQL Server 標準を追加しました。 |
| 2019 年 8 月 29 日 | 適切な操作のために websocket トラフィックを無視するよう、Squid プロキシの設定に関するガイダンスを含む、「ハイブリッド データ セキュリティ用の Squid プロキシの設定 」の付録を追加しました。 |
| 2019 年 8 月 20 日 |
Webex クラウドへのハイブリッド データ セキュリティ コネクタ通信のプロキシ サポートをカバーするセクションを追加し、更新しました。 既存の展開のプロキシ サポート コンテンツだけにアクセスするには、「ハイブリッド データ セキュリティと Webex ビデオ メッシュのプロキシ サポート 」のヘルプ記事を参照してください。 |
| 2019 年 6 月 13 日 | 組織がディレクトリ同期を使用している場合、トライアルを開始する前に HdsTrialGroup グループ オブジェクトを同期するためのリマインダーで Trial to Production Task Flow を更新しました。 |
| 2019 年 3 月 6 日 |
|
| 2019 年 2 月 28 日 |
|
| 2019 年 2 月 26 日 |
|
|
2019 年 1 月 24 日 |
|
| 2018 年 11 月 5 日 |
|
| 2018年10月19日水曜日 |
|
|
2018 年 7 月 31 日 |
|
| 2018 年 5 月 21 日 |
Cisco Spark のリブランディングを反映する用語を変更しました。
|
| 2018 年 4 月 11 日 |
|
| 2018年2月22日 |
|
| 2018年2月15日 |
|
| 2018年1月18日 |
|
|
2017年11月2日 |
|
|
2017年8月18日 |
初版 |
ハイブリッド データ セキュリティで開始する
ハイブリッド データ セキュリティ概要
Webex アプリの設計では、1 日目以降、データ セキュリティが主要なフォーカスとなっています。このセキュリティのコーナーストンは、エンドツーエンドのコンテンツ暗号化であり、Webex アプリ クライアントがキー管理サービス (KMS) と対話することで有効になります。KMS はメッセージとファイルを動的に暗号化し、解読するためにクライアントが使用する暗号キーの作成と管理の責任を負っています。
デフォルトでは、すべての Webex アプリの顧客は、Cisco のセキュリティ領域であるクラウド KMS に保存されているダイナミック キーを使用してエンドツーエンドの暗号化を取得します。ハイブリッド データ セキュリティは、KMS とその他のセキュリティ関連の機能をあなたのエンタープライズ データ センターに移動するため、誰でもなくあなたが暗号化コンテンツの鍵を持っています。
セキュリティ領域のアーキテクチャ
Webex クラウド アーキテクチャは、以下に示すように、異なるタイプのサービスを別の領域、または信頼ドメインに分離します。
ハイブリッド データ セキュリティをさらに理解するために、シスコがクラウド領域ですべての機能を提供している純粋なクラウド ケースを見てみましょう。メール アドレスなど個人情報を直接ユーザーが関連付けることが可能な唯一の場所である ID サービスは、データ センター B のセキュリティ領域から論理的および物理的に分かれています。データ センター C では、暗号化されたコンテンツが最終的に保存される領域と、両方とも別になります。
この図では、クライアントがユーザーのラップトップで実行されている Webex アプリであり、ID サービスで認証されています。ユーザーがメッセージを編集し、スペースに送るとき、以下のステップを踏みます:
-
クライアントは重要な管理サービス (KMS) と安全な接続を確立し、メッセージを暗号化するためのキーをリクエストします。安全な接続では ECDH を使用し、KMS は AES-256 マスター キーを使用してキーを暗号化します。
-
メッセージはクライアントを離れる前に暗号化されます。クライアントは、暗号化された検索インデックスを作成し、コンテンツで将来検索を助けるインデックス化サービスに送信します。
-
暗号化されたメッセージは、コンプライアンス チェックのためコンプライアンス サービスに送信されます。
-
暗号化されたメッセージは、保管領域に保管されます。
ハイブリッド データ セキュリティを展開する際、セキュリティ領域機能 (KMS、インデックス作成、コンプライアンス) をオンプレミス データ センターに移動します。Webex を構成するその他のクラウド サービス (ID とコンテンツ ストレージを含む) は、Cisco の領域に残ります。
他の組織と協力する
組織内のユーザーは定期的に Webex アプリを使用して、他の組織の外部参加者と共同作業を行うことができます。ユーザーの 1 人があなたの組織が所有しているスペースのキーをリクエストしたとき (あなたの組織のユーザーの 1 人が作成したため)、KMS は ECDH の安全なチャンネルでキーをクライアントに送信します。ただし、別の組織がスペースのキーを所有している場合、KMS は別の ECDH チャネルを通じて、リクエストを WEBEX クラウドにルーティングして、適切な KMS からキーを取得し、そのキーを元のチャネルのユーザーに返します。
組織 A で実行されている KMS サービスは、X.509 PKI 証明書を使用して他の組織の KMS への接続を検証します。ハイブリッド データ セキュリティ展開で使用する X.509 証明書を生成する方法の詳細については、「環境を準備する 」を参照してください。
ハイブリッド データ セキュリティの展開の例外
ハイブリッド データ セキュリティの展開には、重要な顧客のコミットメントと、暗号化キーを所有することに伴うリスクを認識する必要があります。
ハイブリッド データ セキュリティを展開するには、以下を提供する必要があります。
-
Cisco Webex Teams プランでサポートされている場所である国の安全なデータセンター。
ハイブリッド データ セキュリティ用に構築する構成 ISO または提供するデータベースのいずれかが完全に失われると、キーが失われます。キー損失により、ユーザーが Webex アプリのスペース コンテンツやその他の暗号化されたデータを復号できなくなります。このことが発生する場合、新しい展開を構築できますが、新しいコンテンツのみが表示されます。データのアクセス権の喪失を防ぐには、以下を行う必要があります:
-
データベースのバックアップと復元および構成 ISO を管理します。
-
データベースディスクの障害やデータセンターの災害などの災害が発生した場合は、迅速な災害復旧を行う準備をしてください。
HDS 展開後にキーをクラウドに戻すメカニズムはありません。
高レベルのセットアップ プロセス
このドキュメントでは、ハイブリッド データ セキュリティ展開のセットアップと管理について説明します。
ハイブリッド データ セキュリティのセットアップ—これには、必要なインフラストラクチャの準備、ハイブリッド データ セキュリティ ソフトウェアのインストール、トライアル モードでのユーザーのサブセットでの展開のテスト、テストの完了後、実稼働に移行が含まれます。これにより、組織全体がセキュリティ機能にハイブリッド データ セキュリティ クラスタを使用するようになります。
セットアップ、トライアル、およびプロダクション フェーズについては、次の 3 つの章で詳しく説明します。
-
ハイブリッド データ セキュリティ展開の維持—Webex クラウドは自動的に進行中のアップグレードを提供します。IT 部門は階層 1 のサポートをこの展開に提供し、必要に応じて Cisco サポートを提供します。Control Hub では、画面上の通知を使用して、メールベースのアラートを設定できます。
-
一般的なアラート、トラブルシューティング手順、および既知の問題について理解する - ハイブリッド データ セキュリティの展開または使用に問題が発生した場合、このガイドの最後の章と「既知の問題の付録」が問題の判別と修正に役立ちます。
ハイブリッド データ セキュリティ展開モデル
エンタープライズ データ センター内で、ハイブリッド データ セキュリティを別々の仮想ホスト上のノードの単一のクラスタとして展開します。ノードは、セキュアなウェブソケットとセキュア HTTP を通じて Webex クラウドと通信します。
インストール プロセス中、提供する VM 上で仮想マシンセットアップするために、OVA ファイルを提供します。HDS セットアップ ツールを使用し、各ノードにマウントするカスタム クラスター構成 ISO ファイルを作成します。ハイブリッド データ セキュリティ クラスタは、提供された Syslogd サーバと PostgreSQL または Microsoft SQL Server データベースを使用します。（HDS セットアップ ツールで Syslogd とデータベース接続の詳細を設定します）。
クラスターで保持できるノードの最小数は 2 つです。クラスターごとに少なくとも 3 つをお勧めします。複数のノードを持つと、ノード上のソフトウェア アップグレードやその他のメンテナンス アクティビティ中にサービスが中断されないようにします。(Webex クラウドは一度に 1 つのノードのみアップグレードします。)
クラスターのすべてのノードは、同じキー データストアにアクセスし、同じ syslog サーバーに対するアクティビティをログ記録します。クラウドで指示された通り、ノード自体では処理状態が把握されておらず、ラウンド ロビン方式でキー リクエストを処理します。
ノードは Control Hub に登録するとアクティブになります。個別ノードをサービス外にするには、必要に応じて登録解除し、再登録できます。
組織ごとに単一のクラスターのみサポートします。
ハイブリッド データ セキュリティ トライアル モード
ハイブリッド データ セキュリティの展開を設定した後、まずパイロット ユーザのセットで試します。トライアル期間中、これらのユーザーは暗号化キーやその他のセキュリティ領域サービスにオンプレミスのハイブリッド データ セキュリティ ドメインを使用します。他のユーザーは継続してクラウド セキュリティ領域を使用します。
トライアル中に展開を継続せず、サービスを非アクティブ化する場合、トライアル期間中に新しいスペースを作成することによって、相互作用したパイロット ユーザーとユーザーは、メッセージとコンテンツへのアクセス権を失います。Webex アプリで「このメッセージを復号できません」と表示されます。
トライアル ユーザーに対して展開がうまく機能しており、すべてのユーザーにハイブリッド データ セキュリティを拡張する準備ができている場合は、展開を本番環境に移行します。パイロット ユーザーは、継続してトライアル中に使用されていたキーにアクセス権があります。しかし、実稼働環境モードと元のトライアル間で移動はできません。災害復旧の実行など、サービスを非アクティブ化する必要がある場合、再アクティブ化するとき、実稼働環境モードに戻る前に、新しいトライアルを開始し、新しいトライアルに一連のパイロット ユーザーをセットアップする必要があります。この時点でユーザーがデータへのアクセスを保持するかどうかは、クラスタ内のハイブリッド データ セキュリティ ノードのキー データ ストアと ISO 構成ファイルのバックアップを正常に維持したかどうかによって異なります。
災害復旧のためのスタンバイデータセンター
展開中、セキュアなスタンバイデータセンターをセットアップします。データセンターの災害が発生した場合、スタンバイデータセンターへの展開を手動で失敗させることができます。
アクティブおよびスタンバイデータセンターのデータベースは相互に同期されているため、フェールオーバーを実行するのにかかる時間を最小限に抑えます。スタンバイデータセンターの ISO ファイルが更新され、ノードが組織に登録されていることを確認しますが、トラフィックを処理しません。したがって、スタンバイデータセンターのノードは、常に最新バージョンの HDS ソフトウェアの最新バージョンのままになります。
アクティブなハイブリッド データ セキュリティ ノードは、常にアクティブなデータベース サーバと同じデータセンターにある必要があります。
ディザスタ リカバリ 用のスタンバイ データ センターのセットアップ
スタンバイデータセンターの ISO ファイルを構成するには、以下の手順に従ってください。
開始する前に
-
スタンバイデータセンターは、VM の生産環境とバックアップ PostgreSQL または Microsoft SQL Server データベースをミラーリングする必要があります。たとえば、生産に HDS ノードを実行している 3 VMs がある場合、バックアップ環境には 3 Vms が必要です。(このフェールオーバー モデルの概要については、「災害復旧のためのスタンバイデータセンター 」を参照してください。)
-
アクティブ クラスタ ノードのデータベースとパッシブ クラスタ ノードのデータベース間でデータベース同期が有効になっていることを確認します。
| 1 |
HDS セットアップ ツールを開始し、「HDS ホストの構成 ISO を作成する」に記載されている手順に従います。 ISO ファイルは、次の構成の更新が行われるプライマリデータセンターの元の ISO ファイルのコピーである必要があります。 |
| 2 |
Syslogd サーバーを構成したら、[詳細設定] をクリックします。 |
| 3 |
[詳細設定] ページで、以下の構成を追加して、ノードをパッシブ モードにします。このモードでは、ノードは組織に登録され、クラウドに接続されますが、トラフィックは処理されません。
|
| 4 |
設定プロセスを完了し、見つけやすい場所に ISO ファイルを保存します。 |
| 5 |
ローカル システムの ISO ファイルのバックアップ コピーを作成します。バックアップコピーを安全に保ちます。このファイルには、データベース コンテンツのマスター暗号化キーを含みます。設定変更を行う必要があるハイブリッド データ セキュリティ管理者のみにアクセスを制限します。 |
| 6 |
VMware vSphere クライアントの左側のナビゲーション ペインで、VM を右クリックし、[設定の編集] をクリックします。 |
| 7 |
[設定の編集] > [CD/DVD ドライブ 1] をクリックし、データストア ISO ファイルを選択します。 ノードの開始後に更新された構成変更が有効になるように、[接続済み] と [電源で接続] がオンになっていることを確認します。 |
| 8 |
HDS ノードの電源をオンにし、少なくとも 15 分間アラームがないことを確認します。 |
| 9 |
スタンバイデータセンター内のすべてのノードに対してこのプロセスを繰り返します。 syslogs を確認して、ノードがパッシブ モードになっていることを確認します。syslogs で「受動モードで設定された KMS」というメッセージを表示できるはずです。 |
次に行うこと
ISO ファイルで passiveMode を設定して保存した後、passiveMode 設定なしで ISO ファイルの別のコピーを作成し、安全な場所に保存できます。passiveMode が設定されていない ISO ファイルのこのコピーは、災害復旧時の迅速なフェールオーバー プロセスに役立ちます。詳細なフェールオーバー手順については、「スタンバイデータセンターを使用した災害復旧 」を参照してください。
プロキシサポート
ハイブリッド データ セキュリティは、明示的な透過的な検査および非検査プロキシをサポートします。これらのプロキシを展開に関連付けることができます。これにより、エンタープライズからクラウドに送信されるトラフィックをセキュリティ保護し、監視することができます。証明書の管理のノードでプラットフォーム管理インターフェイスを使用して、ノードでプロキシを設定した後で、全体的な接続ステータスを確認することができます。
ハイブリッド データ セキュリティ ノードは、以下のプロキシ オプションをサポートしています。
-
プロキシなし: プロキシを統合するために HDS ノードのセットアップ信頼ストアとプロキシ構成を使用しない場合のデフォルト。証明書の更新は必要ありません。
-
透過的な検査なしのプロキシ: ノードは特定のプロキシ サーバー アドレスを使用するように設定されていないため、検査なしのプロキシで動作するように変更を加える必要はありません。証明書の更新は必要ありません。
-
透過的なトンネリングまたは検査プロキシ: ノードは特定のプロキシ サーバー アドレスを使用するように設定されていません。ノードでは、HTTP または HTTPS の設定変更は必要ありません。ただし、ノードはプロキシを信頼するためにルート証明書を必要とします。プロキシを検査することで、Web サイトにアクセスするか、どのタイプのコンテンツを使用するかを強制するポリシーを施行することができます。このタイプのプロキシは、すべてのトラフィック (HTTPS さえも含む) を復号化します。
-
明示的プロキシ: 明示的プロキシを使用して、使用するプロキシ サーバーと認証スキームを HDS ノードに指示します。明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
-
プロキシ IP/FQDN—プロキシ マシンに到達するために使用できるアドレス。
-
プロキシ ポート: プロキシがプロキシ トラフィックをリッスンするために使用するポート番号。
-
プロキシ プロトコル: プロキシ サーバーがサポートしているものに応じて、次のプロトコルから選択します。
-
HTTP—クライアントが送信するすべての要求を表示し、コントロールします。
-
HTTPS—サーバーにチャネルを提供します。クライアントがサーバーの証明書を受け取り、検証します。
-
-
認証タイプ: 次の認証タイプから選択します。
-
なし: 追加の認証は必要ありません。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
-
ベーシック—HTTP ユーザー エージェントがリクエストを行う際にユーザー名とパスワードを指定するために使用されます。Base64 エンコードを使用します。
プロキシ プロトコルとして HTTP または HTTPS のいずれかを選択した場合に利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
-
ダイジェスト: 機密情報を送信する前にアカウントを確認するために使用されます。ネットワークを経由して送信する前に、ユーザー名およびパスワードにハッシュ機能を適用します。
プロキシ プロトコルとして HTTPS を選択した場合にのみ利用できます。
各ノードにユーザー名とパスワードを入力する必要があります。
-
-
ハイブリッド データ セキュリティ ノードとプロキシの例
この図は、ハイブリッド データ セキュリティ、ネットワーク、およびプロキシ間の接続例を示しています。透過的な検査および HTTPS 明示的な検査プロキシ オプションの場合、同じルート証明書がプロキシとハイブリッド データ セキュリティ ノードにインストールされている必要があります。
外部 DNS 解決ブロックモード (明示的プロキシ構成)
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。内部クライアントのための外部 DNS 解決が許可されていない、明示的なプロキシ構成の展開では、ノードが DNS サーバーに問い合わせができない場合、自動的に外部 DNS 解決ブロックモードに切り替わります。このモードでは、ノード登録および他のプロキシ接続テストを続行することができます。
環境の準備
ハイブリッド データ セキュリティの要件
Cisco Webex ライセンス要件
ハイブリッド データ セキュリティを展開するには:
-
Pro Pack for Cisco Webex Control Hub が必要です。(https://www.cisco.com/go/pro-packを参照。)
Docker デスクトップの要件
HDS ノードをインストールする前に、セットアップ プログラムを実行するには Docker デスクトップが必要です。Docker は最近、ライセンス モデルを更新しました。組織は Docker デスクトップの有料サブスクリプションを必要とする場合があります。詳細については、Docker ブログ投稿「 Docker は更新および製品サブスクリプションを拡張しています」を参照してください。
X.509 証明書要件
証明書チェーンは、次の条件を満たす必要があります。
|
要件 |
詳細 |
|---|---|
|
デフォルトでは、https://wiki.mozilla.org/CA:IncludedCAs で Mozilla リスト (WoSign と StartCom を除く) の CA を信頼します。 |
|
CN は到達可能またはアクティブな主催者である必要はありません。たとえば CN に *（ワイルドカード）を含めることはできません。 CN は、Webex アプリ クライアントに対してハイブリッド データ セキュリティ ノードを検証するために使用されます。クラスタ内のすべてのハイブリッド データ セキュリティ ノードが同じ証明書を使用します。KMS は x.509v3 SAN フィールドで定義されるドメインではなく、CN ドメインを使用してそれ自体を識別します。 この証明書でノードを登録した場合、CN ドメイン名の変更をサポートしません。トライアルと生産展開の両方に適用可能なドメインを選択します。 |
|
KMS ソフトウェアは、他の組織の KMS に対する接続を検証するために、SHA1 署名をサポートしません。 |
|
OpenSSL などのコンバーターを使用して、証明書の形式を変更できます。 HDS セットアップ ツールを実行する時、パスワードを入力する必要があります。 |
KMS ソフトウェアはキー使用量を強制したり、キー使用量の誓約を拡張したりしません。いくつかの証明書権限は、サーバー認証など、拡張キー使用量が各証明書に適用されることを必要とします。サーバー認証や他の設定を使用しても大丈夫です。
仮想ホストの要件
クラスタでハイブリッド データ セキュリティ ノードとして設定する仮想ホストには、次の要件があります。
-
同じセキュアなデータセンターに少なくとも 2 つの個別のホスト (推奨 3 つ) が共存
-
VMware ESXi 6.5 (またはそれ以降) がインストールされ、実行されています。
ESXi の以前のバージョンがある場合は、アップグレードする必要があります。
-
最低 4 つの vCPU、8 GB メイン メモリ、サーバーあたり 30 GB のローカル ハード ディスク容量
データベース サーバーの要件
キーストレージ用の新しいデータベースを作成します。デフォルトのデータベースを使用しないでください。インストールしたとき、HDS アプリケーションはデータベース スキーマを作成します。
データベース サーバには 2 つのオプションがあります。各要件は次のとおりです。
|
ポストSQL |
Microsoft SQL サーバー |
|---|---|
|
|
|
最低 8 vCPUs、16-GB メイン メモリ、十分なハード ディスク スペース、超過がないように監視 (ストレージを増やす必要なく、長期間データべースを実行する場合、2-TB が推奨されます。) |
最低 8 vCPUs、16-GB メイン メモリ、十分なハード ディスク スペース、超過がないように監視 (ストレージを増やす必要なく、長期間データべースを実行する場合、2-TB が推奨されます。) |
現在、HDS ソフトウェアは、データベース サーバと通信するための次のドライバ バージョンをインストールしています。
|
ポストSQL |
Microsoft SQL サーバー |
|---|---|
|
Postgres JDBCドライバー 42.2.5 |
SQL Server JDBC ドライバー 4.6 このドライババージョンは、SQL Server Always On（Always On Failover Cluster Instances および Always On アベイラビリティ グループ）をサポートしています。 |
Microsoft SQL Server に対する Windows 認証の追加要件
HDS ノードが Windows 認証を使用して Microsoft SQL Server 上のキーストア データベースにアクセスできるようにする場合は、環境内で次の設定が必要です。
-
HDS ノード、Active Directory インフラストラクチャ、MS SQL Server はすべて NTP と同期する必要があります。
-
HDS ノードに提供する Windows アカウントは、データベースへの読み取り/書き込みアクセス権を持っている必要があります。
-
HDS ノードに提供する DNS サーバーは、キー配布センター (KDC) を解決できる必要があります。
-
Microsoft SQL Server で HDS データベース インスタンスをサービス プリンシパル ネーム (SPN) として登録できます。「Kerberos 接続のサービス プリンシパル名を登録する」を参照してください。
HDS セットアップ ツール、HDS ランチャー、およびローカル KMS はすべて、キーストア データベースにアクセスするために Windows 認証を使用する必要があります。Kerberos 認証によるアクセスを要求するときに、ISO 設定の詳細を使用して SPN を構築します。
外部接続要件
ファイアウォールを構成して、HDS アプリケーションに対して次の接続を許可します。
|
アプリケーション |
プロトコル |
ポート |
アプリからの方向 |
移動先 |
|---|---|---|---|---|
|
ハイブリッド データ セキュリティ ノード |
TCP |
443 |
アウトバウンド HTTPS および WSS |
|
|
HDS セットアップ ツール |
TCP |
443 |
アウトバウンド HTTPS |
|
ハイブリッド データ セキュリティ ノードは、NAT またはファイアウォールが前の表のドメイン宛先への必要な発信接続を許可している限り、ネットワーク アクセス トランスレーション（NAT）またはファイアウォールの背後で機能します。ハイブリッド データ セキュリティ ノードにインバウンドする接続の場合、インターネットからポートを表示することはできません。データセンター内で、クライアントは管理目的のため、TCP ポート 443 および 22 のハイブリッド データ セキュリティ ノードにアクセスする必要があります。
Common Identity (CI) ホストの URL は地域固有です。これらは、現在の CI ホストです。
|
地域 |
共通 ID ホスト URL |
|---|---|
|
Americas（北米、南米エリア） |
|
|
欧州連合 |
|
|
カナダ |
|
プロキシ サーバーの要件
-
お使いのハイブリッド データ セキュリティ ノードと統合できる次のプロキシ ソリューションを正式にサポートしています。
-
透過的プロキシ—Cisco Web Security Appliance (WSA)。
-
明示的プロキシ—Squid。
HTTPS トラフィックを検査する Squid プロキシは、websocket (wss:) 接続の確立に干渉する可能性があります。この問題を回避するには、「ハイブリッド データ セキュリティのために Squid プロキシを構成する」を参照してください。
-
-
明示的プロキシに対して次の認証タイプの組み合わせがサポートされています。
-
HTTP または HTTPS による認証がありません
-
HTTP または HTTPS による基本認証
-
HTTPS のみによるダイジェスト認証
-
-
透過的検査プロキシまたは HTTPS 明示的プロキシについては、プロキシのルート証明書のコピーが必要です。このガイドに記載されている展開手順は、ハイブリッド データ セキュリティ ノードの信頼ストアにコピーをアップロードする方法を説明しています。
-
HDS ノードをホストするネットワークは、ポート 443 のアウトバウンド TCP トラフィックを強制的にプロキシ経由でルーティングするように設定されている必要があります。
-
Web トラフィックを検査するプロキシは、Web ソケット接続に干渉する場合があります。この問題が発生した場合、
wbx2.comおよびciscospark.comへのトラフィックをバイパスする (検査しない) ことで問題を解決します。
ハイブリッド データ セキュリティの前提条件を満たします
| 1 |
Webex 組織で Pro Pack for Cisco Webex Control Hub が有効になっていることを確認し、組織の完全な管理者権限を持つアカウントの資格情報を取得してください。Cisco パートナーもしくはアカウント マネージャーにこのプロセスについてサポートを受けるために連絡してください。 |
| 2 |
HDS 展開のドメイン名 (例: |
| 3 |
クラスタでハイブリッド データ セキュリティ ノードとしてセットアップする同じ仮想ホストを準備します。仮想ホスト要件の要件を満たす同じセキュアなデータセンターに少なくとも 2 つの個別のホスト (推奨 3 つ) が共同で必要です。 |
| 4 |
データベース サーバーの要件に従って、クラスタのキー データ ストアとして機能するデータベース サーバーを準備します。データベースサーバーは、セキュアなデータセンターに仮想ホストと共存する必要があります。 |
| 5 |
災害復旧をすばやくするには、別のデータセンターでバックアップ環境を設定します。バックアップ環境は、VM とバックアップ データベース サーバの本番環境を反映します。たとえば、生産に HDS ノードを実行している 3 VMs がある場合、バックアップ環境には 3 Vms が必要です。 |
| 6 |
Syslog 主催者をセットアップして、クラスターのノードからログを収集します。ネットワーク アドレスと syslog ポート (デフォルトは UDP 514) をまとめます。 |
| 7 |
ハイブリッド データ セキュリティ ノード、データベース サーバ、および syslog ホストの安全なバックアップ ポリシーを作成します。少なくとも、回復不能なデータの損失を防ぐには、ハイブリッド データ セキュリティ ノード用に生成されたデータベースと構成 ISO ファイルをバックアップする必要があります。 ハイブリッド データ セキュリティ ノードは、コンテンツの暗号化と復号に使用されるキーを保存するため、運用展開の維持に失敗すると、コンテンツの回復不能な損失 が発生します。 Webex アプリ クライアントはキーをキャッシュするため、サービス停止はすぐに目立たなくなりますが、時間の経過とともに明らかになります。一時的な停電が防げない場合、復元可能です。しかし、データベースまたは構成 ISO ファイルのどちらかを完全に失う (バックアップが利用できない) ことは、顧客データは復元できません。ハイブリッド データ セキュリティ ノードのオペレータは、データベースと構成 ISO ファイルの頻繁なバックアップを維持し、壊滅的な障害が発生した場合に、ハイブリッド データ セキュリティ データ センターを再構築する準備をする必要があります。 |
| 8 |
外部接続の要件で説明されているように、ファイアウォール構成でハイブリッド データ セキュリティ ノードの接続を許可していることを確認してください。 |
| 9 |
Web ブラウザを使用して、サポートされている OS (Microsoft Windows 10 Professional または Enterprise 64 ビット、または Mac OSX Yosemite 10.10.3 以上) を実行している任意のローカルマシンに Docker (https://www.docker.com) をインストールします。http://127.0.0.1:8080. Docker インスタンスを使用して、すべてのハイブリッド データ セキュリティ ノードのローカル設定情報を構築する HDS セットアップ ツールをダウンロードして実行します。組織には Docker デスクトップ ライセンスが必要な場合があります。詳細については、「Docker デスクトップの要件 」を参照してください。 HDS セットアップ ツールをインストールして実行するには、ローカル マシンに外部接続要件で説明されている接続性が必要です。 |
| 10 |
プロキシをハイブリッド データ セキュリティと統合する場合は、プロキシ サーバー要件を満たしていることを確認してください。 |
| 11 |
組織がディレクトリ同期を使用する場合、 与えられたスペースのキーは、スペースの作成者により設定されます。パイロット ユーザーを選択する場合、ハイブリッド データ セキュリティ展開を完全に無効にする場合、すべてのユーザーはパイロット ユーザーによって作成されたスペースのコンテンツにアクセスできなくなることに注意してください。損失はユーザーのアプリがコンテンツのキャッシュされたコピーを更新するとすぐに明らかになります。 |
ハイブリッド データ セキュリティ クラスターのセットアップ
ハイブリッド データ セキュリティ展開のタスク フロー
開始する前に
| 1 |
初期セットアップを実行し、インストール ファイルをダウンロードする 後で使用するために、OVA ファイルをローカル マシンにダウンロードします。 |
| 2 |
HDS セットアップ ツールを使用して、ハイブリッド データ セキュリティ ノードの ISO 構成ファイルを作成します。 |
| 3 |
OVA ファイルから仮想マシンを作成し、ネットワーク設定などの初期設定を実行します。 OVA 展開中にネットワーク設定を構成するオプションは、ESXi 6.5 でテストされています。このオプションは以前のバージョンでは利用できない場合があります。 |
| 4 |
VM コンソールにサインインし、サインイン資格情報を設定します。OVA 展開時に設定しなかった場合は、ノードのネットワーク設定を構成します。 |
| 5 |
HDS セットアップ ツールで作成した ISO 構成ファイルから VM を設定します。 |
| 6 |
ネットワーク環境でプロキシ設定が必要な場合は、ノードに使用するプロキシのタイプを指定し、必要に応じてプロキシ証明書を信頼ストアに追加します。 |
| 7 |
VM を Cisco Webex クラウドにハイブリッド データ セキュリティ ノードとして登録します。 |
| 8 |
クラスタのセットアップを完了します。 |
| 9 |
トライアルを実行してプロダクションに移動 (次の章) トライアルを開始するまで、ノードは、サービスがまだアクティブになっていないことを示すアラームを生成します。 |
インストール ファイルのダウンロード
| 1 |
https://admin.webex.com にサインインして [サービス] をクリックします。 |
| 2 |
ハイブリッド サービス セクションで、ハイブリッド データ セキュリティ カードを見つけて、[セットアップ] をクリックします。 カードが無効になっている場合、または表示されない場合は、アカウント チームまたはパートナー組織に連絡してください。アカウント番号を指定し、組織でハイブリッド データ セキュリティを有効にするよう依頼してください。アカウント番号を見つけるには、組織名の隣にある右上の歯車をクリックします。 OVA は [設定] ページの [ヘルプ] セクションからいつでもダウンロードできます。ハイブリッド データ セキュリティ カードで、[設定の編集] をクリックしてページを開きます。次に、[ヘルプ] セクションの [ハイブリッド データ セキュリティ ソフトウェアをダウンロード] をクリックします。 古いバージョンのソフトウェア パッケージ (OVA) は最新のハイブリッド データ セキュリティ アップグレードと互換性がありません。これにより、アプリケーションのアップグレード中に問題が発生する可能性があります。OVA ファイルの最新バージョンをダウンロードしていることを確認してください。 |
| 3 |
[いいえ] を選択してノードをまだセットアップしていないことを示し、[次へ] をクリックします。 OVA ファイルは自動的にダウンロードが開始されます。ファイルをマシン内に保存します。
|
| 4 |
オプションで、[展開ガイドを開く ] をクリックして、このガイドの最新バージョンが利用可能かどうかを確認します。 |
HDS 主催者に構成 ISO を作成する
ハイブリッド データ セキュリティ セットアップ プロセスは、ISO ファイルを作成します。その後、ISO を使用してハイブリッド データ セキュリティ ホストを構成します。
始める前に
-
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。アクセスするには、そのマシンで Docker を実行します。セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS セットアップ ツールが環境内のプロキシの背後で実行されている場合、ステップ 5 で Docker コンテナを起動する際に、Docker 環境変数を通してプロキシ設定 (サーバー、ポート、資格情報) を提供します。この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
グローバル_エージェント_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
グローバル_エージェント_HTTPS_PROXY=http://SERVER_IP:ポート認証ありの HTTP プロキシ
グローバル_エージェント_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
グローバル_エージェント_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
生成する構成 ISO ファイルには、PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーが含まれています。次のような設定変更を行うときは、このファイルの最新コピーが必要です。
-
データベース クレデンシャル
-
証明書の更新
-
認証ポリシーの変更
-
-
データベース接続を暗号化する場合は、TLS 用に PostgreSQL または SQL Server の展開を設定します。
| 1 |
マシンのコマンド ラインで、お使い環境に適切なコマンドを入力します。 一般環境: FedRAMP 環境の場合: このステップを実行すると、前の HDS セットアップ ツールの画像がクリーンアップされます。これ以前の画像がない場合は、無視できるエラーを返します。 | ||||||||||
| 2 |
Docker 画像レジストリにサインインするには、以下を入力します。 | ||||||||||
| 3 |
パスワードのプロンプトに対して、このハッシュを入力します。 | ||||||||||
| 4 |
お使い環境に合った最新の安定した画像をダウンロードします。 一般環境: FedRAMP 環境の場合: | ||||||||||
| 5 |
プルが完了したら、お使いの環境に適切なコマンドを入力します。
コンテナが実行中の時。「ポート 8080 で Express サーバー リスニング中」と表示されます。 | ||||||||||
| 6 |
セットアップ ツールは、http://localhost:8080 を介した localhost への接続をサポートしていません。http://127.0.0.1:8080 を使用して、localhost に接続します。 Web ブラウザを使用して、localhost、 ツールは、このユーザー名の最初のエントリを使用して、そのアカウントに適した環境を設定します。その後、ツールには標準のサインイン プロンプトが表示されます。 | ||||||||||
| 7 |
プロンプトが表示されたら、Control Hub の顧客管理者のサインイン資格情報を入力し、[ログイン] をクリックして、ハイブリッド データ セキュリティに必要なサービスへのアクセスを許可します。 | ||||||||||
| 8 |
セットアップ ツール概要ページで、[開始] をクリックします。 | ||||||||||
| 9 |
[ISO インポート] ページで次のオプションがあります。
| ||||||||||
| 10 |
X.509 証明書が X.509 証明書要件の要件を満たしていることを確認してください。
| ||||||||||
| 11 |
HDS がキーデータストアにアクセスするためのデータベース アドレスとアカウントを入力します。 | ||||||||||
| 12 |
TLS データベース接続モードを選択します。
ルート証明書 (必要な場合) をアップロードし、[続行] をクリックすると、HDS セットアップ ツールはデータベース サーバへの TLS 接続をテストします。また、必要に応じて、証明書の署名者とホスト名も検証されます。テストが失敗した場合、問題を説明するエラー メッセージがツールによって表示されます。エラーを無視してセットアップを続行するかどうかを選択できます。(接続の違いにより、HDS セットアップ ツール マシンが正常にテストできない場合でも、HDS ノードが TLS 接続を確立できる場合があります)。 | ||||||||||
| 13 |
[システム ログ（System Logs）] ページで、Syslogd サーバを設定します。 | ||||||||||
| 14 |
(オプション) [詳細設定] で一部のデータベース接続パラメータのデフォルト値を変更できます。通常、このパラメータは変更したい唯一のパラメータです。 | ||||||||||
| 15 |
[サービス アカウント パスワードのリセット] 画面で [続行] をクリックします。 サービス アカウント パスワードの寿命は 9 か月です。パスワードの有効期限が近づいている場合、またはパスワードをリセットして以前の ISO ファイルを無効にする場合は、この画面を使用してください。 | ||||||||||
| 16 |
[ISO ファイルのダウンロード] をクリックします。見つけやすい場所にファイルを保存します。 | ||||||||||
| 17 |
ローカル システムの ISO ファイルのバックアップ コピーを作成します。 バックアップコピーを安全に保ちます。このファイルには、データベース コンテンツのマスター暗号化キーを含みます。設定変更を行う必要があるハイブリッド データ セキュリティ管理者のみにアクセスを制限します。 | ||||||||||
| 18 |
セットアップ ツールをシャットダウンするには、[ |
次に行うこと
構成 ISO ファイルをバックアップします。復元のためにもっとノードを作成するか、設定変更を行う必要があります。ISO ファイルのすべてのコピーを失ったら、マスター キーも失います。PostgreSQL または Microsoft SQL Server データベースからキーを復元することはできません。
このキーのコピーは見つかりませんでした。紛失した場合には役に立ちません。
HDS 主催者 OVA をインストールする
| 1 |
コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想主催者にログインします。 |
| 2 |
ファイル > OVF テンプレートを展開を選択します。 |
| 3 |
ウィザードで、以前ダウンロードした OVA ファイルの場所を指定し、[次へ] をクリックします。 |
| 4 |
[名前とフォルダの選択] ページで、ノードの [仮想マシン名] (たとえば、「HDS_Node_1」) を入力し、仮想マシンノード展開が存在できる場所を選択し、[次へ] をクリックします。 |
| 5 |
[計算リソースの選択] ページで、接続先の計算リソースを選択し、[次へ] をクリックします。 検証チェックが実行されます。完了すると、テンプレートの詳細が表示されます。 |
| 6 |
テンプレートの詳細を確認し、[次へ] をクリックします。 |
| 7 |
[構成] ページでリソース構成を選択するように求められた場合は、[4 CPU] をクリックし、[次へ] をクリックします。 |
| 8 |
[ストレージの選択] ページで、[次へ] をクリックして、デフォルトのディスク形式と VM ストレージポリシーを受け入れます。 |
| 9 |
[ネットワークの選択] ページで、エントリのリストからネットワーク オプションを選択して、VM に希望する接続を提供します。 |
| 10 |
[テンプレートのカスタマイズ] ページで、次のネットワーク設定を構成します。
必要に応じて、ネットワーク設定の構成をスキップし、「ハイブリッド データ セキュリティ VM をセットアップする 」の手順に従って、ノード コンソールから設定を構成できます。 OVA 展開中にネットワーク設定を構成するオプションは、ESXi 6.5 でテストされています。このオプションは以前のバージョンでは利用できない場合があります。 |
| 11 |
ノード VM を右クリックし、 を選択します。 ハイブリッド データ セキュリティ ソフトウェアは、VM ホストにゲストとしてインストールされます。これで、コンソールにサインインしてノードを設定する準備ができました。 トラブルシューティングのヒント ノード コンテナーが出てくるまでに、数分間の遅延がある場合があります。初回起動の間、ブリッジ ファイアウォール メッセージが、コンソールに表示され、この間はサイン インできません。 |
ハイブリッド データ セキュリティ VM のセットアップ
ハイブリッド データ セキュリティ ノード VM コンソールに初めてサインインし、サインイン クレデンシャルを設定するには、この手順を使用します。OVA 展開時に設定しなかった場合は、コンソールを使用してノードのネットワーク設定を構成することもできます。
| 1 |
VMware vSphere クライアントでハイブリッド データ セキュリティ ノード VM を選択し、[コンソール] タブを選択してください。 VM が起動し、ログイン プロンプトが表示されます。ログインプロンプトが表示されない場合は、 入力を押してください。
|
| 2 |
以下のデフォルトログインとパスワードを使用して、証明書にサインインし変更します: 初めて VM にサインインしているため、管理者パスワードを変更する必要があります。 |
| 3 |
[HDS ホスト OVA をインストールする] でネットワーク設定をすでに構成している場合は、この手順の残りの部分をスキップします。それ以外の場合は、メイン メニューで [設定の編集] オプションを選択します。 |
| 4 |
性的構成を IP アドレス、Mask、Gateway、DNS 情報をセットアップします。ノードには内部 IP アドレスと DNS 名があるはずです。DHCP はサポートされていません。 |
| 5 |
(オプション) ネットワーク方針にマッチするための必要性に応じて、ホスト名、ドメイン、もしくはNTP サーバーを変更して下さい。 ドメインを設定し、X.509 証明書を取得するために使用されるドメインにマッチしません。 |
| 6 |
変更が有効になるように、ネットワーク構成を保存し、VM を再起動します。 |
HDS 構成 ISO をアップロードしマウントする
開始する前に
ISO ファイルはマスター キーを保持しているため、ハイブリッド データ セキュリティ VM および変更が必要な管理者がアクセスするために、「知る必要がある」ベースでのみ公開する必要があります。これらの管理者のみがデータストアにアクセスできるようにします。
| 1 |
コンピュータから ISO ファイルをダウンロードします: |
| 2 |
ISO ファイルのマウント: |
次に行うこと
IT ポリシーが必要な場合は、すべてのノードが設定変更をピックアップした後、オプションで ISO ファイルをアンマウントできます。詳細については、「(オプション) HDS 設定後に ISO をマウント解除 」を参照してください。
プロキシ統合のために HDS ノードを設定する
ネットワーク環境でプロキシが必要な場合は、この手順を使用して、ハイブリッド データ セキュリティと統合するプロキシのタイプを指定します。透過型のプロキシまたは HTTPS を明示的なプロキシを選択した場合、ノードのインターフェイスを使用してルート証明書をアップロードしてインストールすることができます。インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。
開始する前に
-
サポートされているプロキシ オプションの概要については、「プロキシ サポート 」を参照してください。
| 1 |
HDS ノードセットアップ URL |
| 2 |
[信頼ストアとロキシ] に移動して、次のオプションを選択します。
透過型検査プロキシ、基本認証を持つ HTTP 明示プロキシ、または HTTPS 明示プロキシについては、次のステップに従ってください。 |
| 3 |
[ルート証明書またはエンティティ終了証明書のアップロード] をクリックし、プロキシのルート証明書を選択するために移動します。 証明書はアップロードされていますが、まだインストールされていません。証明書をインストールするにはノードを再起動する必要があります。証明書発行者名の山形矢印をクリックして詳細を確認するか、間違っている場合は [削除] をクリックして、ファイルを再度アップロードしてください。 |
| 4 |
[プロキシ接続を確認する] をクリックして、ノードとプロキシ間のネットワーク接続性をテストします。 接続テストが失敗した場合は、エラーメッセージが表示され、問題を解決するための理由と方法が示されます。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しています。この状況は、多くの明示的なプロキシ構成で想定されています。セットアップを続行すると、ノードは外部 DNS 解決ブロックモードで機能します。これがエラーだと思われる場合は、これらの手順を完了し、「ブロックされた外部 DNS 解決モードをオフにする」を参照してください。 |
| 5 |
接続テストが成功した後、明示的なプロキシについては https のみに設定し、このノードからの すべてのポートの 443/444 https 要求を明示的プロキシを通してルーティングするように切り替えます。この設定を有効にするには 15 秒かかります。 |
| 6 |
[すべての証明書を信頼ストアにインストールする(HTTPS 明示プロキシまたは透過型のプロキシで表示される)] または [再起動] をクリックして、プロンプトを読み、準備が完了したら [インストール] をクリックします。 ノードが数分以内に再起動されます。 |
| 7 |
ノードが再起動したら、必要に応じて再度サインインして、[概要] ページを開き、接続チェックを確認してすべて緑色のステータスになっていることを確認します。 プロキシ接続の確認は webex.com のサブドメインのみをテストします。接続の問題がある場合、インストール手順に記載されているクラウド ドメインの一部がプロキシでブロックされているという問題がよく見られます。 |
クラスターで最初のノードを登録する
最初のノードを登録するとき、クラスターをノードが指定されている場所に作成します。クラスターには展開された 1 つ上のノードを含み、冗長性を提供します。
開始する前に
-
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
-
ブラウザのポップアップブロッカーが無効になっているか、admin.webex.com の例外を許可していることを確認してください。
| 1 |
https://admin.webex.comにサインインします。 |
| 2 |
スクリーンの左側にあるメニューからサービスを選択します。 |
| 3 |
ハイブリッド サービス セクションで、ハイブリッド データ セキュリティを見つけ、[セットアップ] をクリックします。 ハイブリッド データ セキュリティ ノードの登録ページが表示されます。
|
| 4 |
[はい] を選択し、ノードを設定したことと、登録の準備ができていることを示し、[次へ] をクリックします。 |
| 5 |
最初のフィールドに、ハイブリッド データ セキュリティ コネクタを割り当てるクラスタの名前を入力します。 クラスターのノードが地理的にどこに配置されているかに基づきクラスターに名前を付けることをお薦めします。例:「サンフランシスコ」または「ニューヨーク」または「ダラス」 |
| 6 |
二番目のフィールドで、ノードの内部 IP アドレスまたは完全修飾ドメイン名 (FQDN) を入力し、[次へ] をクリックします。 この IP アドレスまたは FQDN は、「ハイブリッド データ セキュリティ VM をセットアップする」で使用した IP アドレスまたはホスト名とドメインと一致する必要があります。 ノードを Webex に登録できることを示すメッセージが表示されます。
|
| 7 |
[ノードに進む] をクリックします。 |
| 8 |
警告メッセージの [続行] をクリックします。 しばらくすると、Webex サービスのノード接続テストにリダイレクトされます。すべてのテストが成功した場合、[ハイブリッド データ セキュリティ ノードへのアクセスを許可する] ページが表示されます。そこでは、ノードにアクセスする権限を Webex 組織に付与することを確認します。
|
| 9 |
[ハイブリッド データ セキュリティ ノードへのアクセスを許可する] チェックボックスをチェックし、[続行] をクリックします。 アカウントが検証され、「登録完了」メッセージは、ノードが Webex クラウドに登録されていることを示します。
|
| 10 |
リンクをクリックするか、タブを閉じて Control Hub ハイブリッド データ セキュリティ ページに戻ります。 [ハイブリッド データ セキュリティ] ページで、登録したノードを含む新しいクラスターが表示されます。ノードは自動的にクラウドから最新ソフトウェアをダウンロードします。
|
より多くのノードを作成し登録する
現時点では、「ハイブリッド データ セキュリティの前提条件を完了する 」で作成したバックアップ VM は、災害復旧の場合にだけ使用されるスタンバイホストであり、それまではシステムに登録されていません。詳細については、「スタンバイデータセンターを使用した災害復旧」を参照してください。
開始する前に
-
一旦ノードの登録を開始すると、60 分以内に完了する必要があり、そうでなければ、再び最初からやり直しになります。
-
ブラウザのポップアップブロッカーが無効になっているか、admin.webex.com の例外を許可していることを確認してください。
| 1 |
OVA から新しい仮想マシンを作成し、「HDS ホスト OVA をインストールする」の手順を繰り返します。 |
| 2 |
新しい VM で初期設定をセットアップし、「ハイブリッド データ セキュリティ VM のセットアップ」の手順を繰り返します。 |
| 3 |
新しい VM で、「HDS 構成 ISO をアップロードおよびマウントする」の手順を繰り返します。 |
| 4 |
展開用にプロキシを設定している場合は、新しいノードで 「プロキシ統合のために HDS ノードを構成する」 の手順を繰り返します。 |
| 5 |
ノードを登録します。 ノードが登録されています。トライアルを開始するまで、ノードは、サービスがまだアクティブになっていないことを示すアラームを生成します。
|
次に行うこと
トライアルを実行して実稼働環境に移動する
トライアルから本番環境へのタスク フロー
ハイブリッド データ セキュリティ クラスタをセットアップした後、パイロットを開始し、ユーザを追加し、本番環境に移行する準備として展開のテストと検証に使用し始めることができます。
| 1 |
該当する場合、 組織がユーザーのためにディレクトリ同期を使用している場合、トライアルを開始する前に、クラウドに同期するために |
| 2 |
トライアルを開始します。このタスクを実行するまで、ノードは、サービスがまだアクティブになっていないことを示すアラームを生成します。 |
| 3 |
主要なリクエストがハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
| 4 |
ステータスを確認し、アラームのメール通知を設定します。 |
| 5 | |
| 6 |
次のいずれかの操作でトライアル フェーズを完了します。 |
アクティブ トライアル
開始する前に
組織がユーザーに対してディレクトリ同期を使用する場合、組織のトライアルを開始する前に、HdsTrialGroup グループ オブジェクトをクラウドに対する同期の為に選択する必要があります。手順については、「Cisco Directory Connector の展開ガイド」を参照してください。
| 1 |
https://admin.webex.com にサインインして [サービス] を選択します。 |
| 2 |
ハイブリッド データ セキュリティの下で、[設定] をクリックします。 |
| 3 |
[サービス ステータス] セクションで、[トライアルの開始] をクリックします。 サービス ステータスはトライアル モードに変更されます。
|
| 4 |
[ユーザーの追加] をクリックし、1 人以上のユーザーのメール アドレスを入力して、暗号化とインデックス作成サービスのためにハイブリッド データ セキュリティ コネクタを使用してパイロットします。 (組織がディレクトリ同期を使用する場合、アクティブ ディレクトリを使用して、トライアル グループ |
ハイブリッド データ セキュリティ展開
開始する前に
-
ハイブリッド データ セキュリティの展開をセットアップします。
-
トライアルをアクティベートし、いくつかのトライアル ユーザーを追加します。
-
syslog にアクセスして、重要なリクエストがハイブリッド データ セキュリティ展開に渡されていることを確認します。
| 1 |
与えられたスペースのキーは、スペースの作成者により設定されます。パイロットユーザーの 1 人として Webex アプリにサインインし、スペースを作成し、少なくとも 1 人のパイロットユーザーと非パイロットユーザーを招待します。 ハイブリッド データ セキュリティ展開をアクティベート解除すると、パイロット ユーザーが作成したスペースのコンテンツは、クライアントのキャッシュされた暗号化キーのコピーが置き換えられると、アクセスできなくなります。 |
| 2 |
メッセージを新しいスペースに送信します。 |
| 3 |
syslog 出力をチェックして、重要な要求がハイブリッド データ セキュリティ展開に渡されていることを確認します。 |
ハイブリッド データ セキュリティの正常性のモニター
| 1 |
Control Hub で、画面の左側にあるメニューから [サービス] を選択します。 |
| 2 |
ハイブリッド サービス セクションで、ハイブリッド データ セキュリティを見つけて [設定] をクリックします。 ハイブリッド データ セキュリティ設定のページが表示されます。
|
| 3 |
[メール通知] セクションで、カンマ区切りで 1 つ以上のメールアドレスを入力し、[Enter] を推します。 |
トライアルからユーザーを追加または削除する
トライアルからユーザーを削除する場合、ユーザーのクライアントはキーとキーの作成を、KMS の代わりにクラウド KMS からリクエストします。クライアントに KMS で保管されるキーが必要な場合、クラウド KMS がユーザーの代理で取得します。
組織でディレクトリ同期を使用している場合、Active Directory (この手順の代わりに) を使用して、トライアル グループ HdsTrialGroup を管理します。Control Hub でグループ メンバーを表示できますが、追加または削除はできません。
| 1 |
Control Hub にサインインし、[サービス] を選択します。 |
| 2 |
ハイブリッド データ セキュリティの下で、[設定] をクリックします。 |
| 3 |
サービス ステータス領域の [トライアル モード] セクションで、[ユーザーの追加] をクリックするか、[表示および編集] をクリックして、トライアルからユーザーを削除します。 |
| 4 |
1 人以上のユーザーを追加するためにメール アドレスを入力するか、ユーザー ID ごとに [X] をクリックし、トライアルからユーザーを削除します。その後、[保存] をクリックします。 |
トライアルから実稼働環境に移動する
| 1 |
Control Hub にサインインし、[サービス] を選択します。 |
| 2 |
ハイブリッド データ セキュリティの下で、[設定] をクリックします。 |
| 3 |
[サービス ステータス] セクションで、[実稼働環境に移動する] をクリックします。 |
| 4 |
実稼働環境にすべてのユーザーを移動するか確認します。 |
実稼働環境に移動することなくトライアルを終了する
| 1 |
Control Hub にサインインし、[サービス] を選択します。 |
| 2 |
ハイブリッド データ セキュリティの下で、[設定] をクリックします。 |
| 3 |
[非アクティブ化] セクションで、[非アクティブ化] をクリックします。 |
| 4 |
サービスを非アクティブ化するか確認し、トライアルを終了します。 |
HDS 展開を管理する
HDS 展開の管理
ここで説明されているタスクを使用して、ハイブリッド データ セキュリティの展開を管理します。
クラスターのアップグレード スケジュール
アップグレードのスケジュールを設定するには、次の操作を行います。
| 1 |
Control Hub にサインインします。 |
| 2 |
概要ページのハイブリッド サービスの下部で、[ハイブリッド データ セキュリティ] を選択します。 |
| 3 |
[ハイブリッド データ セキュリティ リソース] ページで、クラスタを選択します。 |
| 4 |
右側の概要パネルにて、クラスター設定の下でクラスター名を選択します。 |
| 5 |
設定ページのアップグレードの下で、アップグレードのスケジュール設定を希望する時間およびタイムゾーンを選択します。 注意: タイムゾーンの下に、次に可能なアップグレードの日時が表示されます。必要に応じて、[延期] をクリックすることでアップグレードを翌日に延期することもできます。 |
ノードの構成を変更する
-
有効期限が切れる、または他の理由による、x.509 証明書の変更。
証明書の CN ドメイン名の変更はサポートされていません。ドメインは、クラスターを登録するために使用される元のドメインと一致する必要があります。
-
データベース設定を更新して、PostgreSQL または Microsoft SQL Server データベースのレプリカを変更します。
PostgreSQL から Microsoft SQL Server への、またはその逆へのデータ移行はサポートしていません。データベース環境を切り替えるには、ハイブリッド データ セキュリティの新しい展開を開始します。
-
新しい構成を作成して新しいデータセンターの準備をする。
また、セキュリティ上の理由により、ハイブリッド データ セキュリティは 9 か月間使用可能なサービス アカウント パスワードを使用します。HDS セットアップ ツールがこれらのパスワードを生成した後で、ISO 構成ファイルの各 HDS ノードに展開します。組織のパスワードの有効期限切れが近い場合、Webex チームから「パスワード期限切れ通知」を受け取り、マシン アカウントのパスワードのリセットを求められます。(メールにはテキスト「マシン アカウント API を使用してパスワードを更新します」を含みます。) パスワードの有効期限が切れるまで時間が十分にある場合、ツールには次の 2 つのオプションがあります:
-
ソフト リセット: 古いパスワードと新しいパスワードの両方が最大 10 日間有効です。この期間を使用して、ノードの ISO ファイルを段階的に置き換えることができます。
-
ハードリセット: 古いパスワードがすぐに機能しなくなります。
パスワードをリセットせずに期限切れになる場合、HDS サービスに影響を与える可能性があります。すぐにハード リセットし、すべてのノードの ISO ファイルを置換する必要があります。
この手順を使用して、新しい構成 ISO ファイルを生成し、クラスターに適用します。
始める前に
-
HDS セットアップ ツールをローカル マシンの Docker コンテナとして実行します。アクセスするには、そのマシンで Docker を実行します。セットアップ プロセスでは、組織に対するフル管理者権限を持つ Control Hub アカウントの資格情報が必要です。
HDS セットアップ ツールが環境内のプロキシの背後で実行されている場合、1.e で Docker コンテナを起動する際に、Docker 環境変数を通してプロキシ設定 (サーバー、ポート、資格情報) を提供します。この表ではいくつかの可能な環境変数を示します。
説明
変数
認証なしの HTTP プロキシ
グローバル_エージェント_HTTP_PROXY=http://SERVER_IP:PORT認証なしの HTTPS プロキシ
グローバル_エージェント_HTTPS_PROXY=http://SERVER_IP:ポート認証ありの HTTP プロキシ
グローバル_エージェント_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT認証ありの HTTPS プロキシ
グローバル_エージェント_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
新しい構成を生成するには、現在の構成 ISO ファイルのコピーが必要です。ISO には PostgreSQL または Microsoft SQL Server データベースを暗号化するマスター キーを含むです。データベースの証明書、証明書の更新、認証方針への変更を含む、構成の変更を行った場合は ISO が必要です。
| 1 |
ローカル マシンで Docker を使用し、HDS セットアップ ツールを実行します。 |
| 2 |
実行中の HDS ノードが 1 つしかない場合、新しいハイブリッド データ セキュリティ ノード VM を作成し、新しい構成 ISO ファイルを使用して登録します。詳細については、「他のノードを作成して登録する」を参照してください。 |
| 3 |
古い構成ファイルを実行している既存の HDS ノードの場合、ISO ファイルをマウントします。各ノードで以下の手順を実行し、次のノードをオフにする前に、各ノードを更新します。 |
| 4 |
ステップ 3 を繰り返し、古い構成ファイルを実行している残りの各ノードで構成を置き換えます。 |
外部 DNS 解決ブロックモードをオフにする
ノードを登録するか、またはノードのプロキシ構成を確認するとき、プロセスは DNS 検索と Cisco Webex クラウドへの接続をテストします。ノードの DNS サーバーがパブリック DNS 名を解決できない場合、ノードは自動的に外部 DNS 解決ブロックモードに進みます。
ノードが内部 DNS サーバーを通してパブリック DNS 名を解決できる場合、各ノードでプロキシ接続テストを再実行することで、このモードをオフにすることができます。
開始する前に
| 1 |
Web ブラウザで、ハイブリッド データ セキュリティ ノード インターフェイス (IP アドレス/セットアップ、例: https://192.0.2.0/setup), ノードに設定した管理者資格情報を入力し、 サインイン。 |
| 2 |
[概要] (デフォルトページ) に移動します。 有効になっている場合、 [外部 DNS 解決ブロック] は [はい] に設定されています。 |
| 3 |
[信頼ストアとプロキシ] ページに移動します。 |
| 4 |
[プロキシ接続を確認する] をクリックします。 外部 DNS の解決が正常に行われなかったという内容のメッセージが表示された場合、ノードが DNS サーバーに到達できなかったことを示しており、このモードに留まっています。そうでない場合には、ノードを再起動して[概要] ページに戻ると、[外部 DNS 解決ブロック] は [いいえ] に設定されるはずです。 |
次に行うこと
ノードの削除
| 1 |
コンピュータの VMware vSphere クライアントを使用して、ESXi 仮想主催者にログインし、仮想マシンをオフにします。 |
| 2 |
ノードの削除: |
| 3 |
vSphere クライアントで、VM を削除します。(左側のナビゲーションペインで、VM を右クリックし、[削除] をクリックします。) VM を削除しない場合は、構成 ISO ファイルをアンマウントすることを忘れないでください。ISO ファイルがないと、VM を使用してセキュリティ データにアクセスすることはできません。 |
スタンバイデータセンターを使用した災害復旧
ハイブリッド データ セキュリティ クラスターが提供する最も重要なサービスは、Webex クラウドに保存されたメッセージやその他のコンテンツを暗号化するために使用されるキーの作成と保存です。ハイブリッド データ セキュリティに割り当てられている組織内の各ユーザーについて、新しいキー作成リクエストはクラスタにルーティングされます。カンバセーション スペースのメンバーなど、受け取りの認可を得ているユーザーに、作成されるキーを戻す責任がクラスターにはあります。
クラスター プラットフォームはこれらのキーを提供するにあたり重要な機能となるため、クラスターが実行中のままで、適切なバックアップが維持されている必要があります。ハイブリッド データ セキュリティ データベースまたはスキーマに使用される構成 ISO の損失により、顧客コンテンツは回復不能になります。損失などを防ぐためには、以下のプラクティスが必須です:
災害により、プライマリデータセンターの HDS 展開が利用できなくなる場合は、次の手順に従って、スタンバイデータセンターに手動でフェールオーバーします。
| 1 |
HDS セットアップ ツールを開始し、「HDS ホストの構成 ISO を作成する」に記載されている手順に従います。 |
| 2 |
Syslogd サーバーを構成したら、[詳細設定] をクリックします。 |
| 3 |
[詳細設定] ページで、以下の構成を追加するか、ノードをアクティブにするために
|
| 4 |
設定プロセスを完了し、見つけやすい場所に ISO ファイルを保存します。 |
| 5 |
ローカル システムの ISO ファイルのバックアップ コピーを作成します。バックアップコピーを安全に保ちます。このファイルには、データベース コンテンツのマスター暗号化キーを含みます。設定変更を行う必要があるハイブリッド データ セキュリティ管理者のみにアクセスを制限します。 |
| 6 |
VMware vSphere クライアントの左側のナビゲーション ペインで、VM を右クリックし、[設定の編集] をクリックします。 |
| 7 |
[設定の編集] > [CD/DVD ドライブ 1] をクリックし、データストア ISO ファイルを選択します。 ノードの開始後に更新された構成変更が有効になるように、[接続済み] と [電源で接続] がオンになっていることを確認します。 |
| 8 |
HDS ノードの電源をオンにし、少なくとも 15 分間アラームがないことを確認します。 |
| 9 |
スタンバイデータセンター内のすべてのノードに対してこのプロセスを繰り返します。 syslog 出力をチェックして、スタンバイデータセンターのノードがパッシブモードになっていないことを確認します。「受動モードで設定された KMS」は、syslogs に表示されるべきではありません。 |
次に行うこと
(オプション) HDS 設定後に ISO を取り外す
標準 HDS 設定は、ISO がマウントされた状態で実行されます。ただし、ISO ファイルを継続的にマウントすることを希望する顧客もあります。すべての HDS ノードが新しい設定を取得すると、ISO ファイルをマウント解除できます。
設定変更を行うには、引き続き ISO ファイルを使用します。新しい ISO を作成するか、セットアップ ツールから ISO を更新する場合は、更新された ISO をすべての HDS ノードにマウントする必要があります。すべてのノードが設定変更をピックアップしたら、この手順で ISO をアンマウントできます。
開始する前に
すべての HDS ノードをバージョン 2021.01.22.4720 以降にアップグレードします。
| 1 |
HDS ノードの 1 つをシャットダウンします。 |
| 2 |
vCenter Server アプライアンスで、HDS ノードを選択します。 |
| 3 |
の順に選択し、[データストア ISO ファイル] のチェックを外します。 |
| 4 |
HDS ノードの電源をオンにし、少なくとも 20 分間アラームがないことを確認します。 |
| 5 |
各 HDS ノードに対して順番に繰り返します。 |
ハイブリッド データ セキュリティのトラブルシューティング
アラートを表示してトラブルシューティングする
ハイブリッド データ セキュリティの展開は、クラスタ内のすべてのノードに到達できない場合、またはクラスタが動作が遅いため、要求がタイムアウトになった場合、利用できないと見なされます。ユーザーがハイブリッド データ セキュリティ クラスタに到達できない場合、次の症状を経験します。
-
新しいスペースが作成できない (新しいキーを作成できない)
-
メッセージとスペースのタイトルを暗号解除できない:
-
新しいユーザーをスペースに追加する (キーを取得できない)
-
新しいクライアントを使用したスペースの既存ユーザー (キーを取得できない)
-
-
クライアントが暗号キーのキャッシュを持っている限り、スペースの既存ユーザーは引き続き正常に実行します
サービスの中断を避けるために、ハイブリッド データ セキュリティ クラスタを適切に監視し、アラートを速やかに解決することが重要です。
警告
ハイブリッド データ セキュリティのセットアップに問題がある場合、Control Hub は組織管理者にアラートを表示し、設定されたメール アドレスにメールを送信します。アラートでは多くに共通するシナリオを説明しています。
|
警告 |
アクション |
|---|---|
|
ローカル データべースへのアクセスに失敗しました。 |
データベースのエラーかローカル ネットワークの問題をチェックしてください。 |
|
ローカル データベースの接続に失敗しました。 |
データベース サーバーが利用可能であり、正しいサービス アカウント証明書がノード構成に使用されていたことをチェックします。 |
|
クラウド サービスへのアクセスに失敗しました。 |
外部接続要件で指定されている通り、ノードが Webex サーバーにアクセスできることを確認します。 |
|
クラウド サービスの登録を更新します。 |
クラウド サービスへの登録に失敗しました。登録の更新は現在進行中です。 |
|
クラウド サービスの登録に失敗しました。 |
クラウド サービスへの登録が終了しましたサービスがシャット ダウンしました。 |
|
サービスがアクティベートされていません。 |
トライアルをアクティベートするか、トライアルから実稼働環境への移動を終了します。 |
|
構成されたドメインはサーバー証明書に一致しません。 |
サーバー証明書が構成されたサービス アクティベーション ドメインに一致することを確認します。 もっとも多い原因は、証明書 CN が最近変更され、最初のセットアップ中に使用された CN とは異なっているためです。 |
|
クラウド サービスへの認証に失敗しました。 |
正確性とサービス アカウント証明書の期限切れの可能性をチェックします。 |
|
ローカル キーストア ファイルを開くことに失敗しました。 |
ローカル キーストア ファイルの整合性とパスワードの正確性をチェックします。 |
|
ローカル サーバー証明書が無効です。 |
サーバー証明書の期限切れ日をチェックし、信頼できる証明書権限から発行されたものであることを確認します。 |
|
メトリクスを投稿できません。 |
外部クラウド サービスへのローカル ネットワーク アクセスをチェックします。 |
|
/media/configdrive/hds ディレクトリは存在しません。 |
仮想ホストで ISO マウント構成をチェックします。ISO ファイルが存在し、再起動時にマウントされるように構成されており、正常にマウントされていることを確認します。 |
ハイブリッド データ セキュリティのトラブルシューティング
| 1 |
アラートについては Control Hub を確認し、そこで見つかった項目を修正します。 |
| 2 |
ハイブリッド データ セキュリティ展開からのアクティビティの syslog サーバー出力を確認します。 |
| 3 |
Cisco サポートに連絡します。 |
その他のメモ
ハイブリッド データ セキュリティ に関する既知の問題
-
ハイブリッド データ セキュリティ クラスターを (Control Hub で削除するか、すべてのノードをシャットダウンする)、構成 ISO ファイルを失うか、キーストア データベースへのアクセスを失った場合、Webex アプリのユーザーは、KMS のキーで作成されたユーザー リストの下のスペースを使用できなくなります。これは、トライアルと実稼働環境展開に適用されます。一度アクティブ ユーザーを扱った場合、現在この問題の会費苞や修正方法はなく、HDS サービスを終了しないようにしてください。
-
KMS への既存の ECDH 接続を持つクライアントは、一定の期間接続を維持します (およそ 1 時間)。ユーザーがハイブリッド データ セキュリティ トライアルのメンバーになると、タイムアウトするまで、ユーザーのクライアントは既存の ECDH 接続を使用し続けます。または、ユーザーはサインアウトして Webex アプリに戻り、アプリが暗号化キーについて連絡する場所を更新できます。
組織のトライアルを実稼働環境に移動した時、同じ動作が発生します。以前のデータ セキュリティ サービスへ既存の ECDH 接続持つ非トライアル ユーザーは、ECDH 接続が再交渉されるまで継続してそれらのサービスを使用します (タイムアウトまで、またはサインアウトして戻ってくることで)。
OpenSSL を使用して PKCS12 ファイルを生成する
開始する前に
-
OpenSSL は、HDS セットアップ ツールでローディングするために、適切なフォーマットで PKCS12 ファイルを作成するために使用可能なツールです。これを実行する他の方法もあり、別の方法がある中で1つの方法をサポートまたは促進しません。
-
OpenSSL を使用することを選択した場合、X.509 証明書要件の X.509 証明書要件を満たすファイルを作成するためのガイドラインとしてこの手順を提供します。続行する前にそれらの要件を理解します。
-
サポートされている環境で OpenSSL をインストールします。ソフトウェアと文書については https://www.openssl.org をご覧ください。
-
秘密鍵を作成します。
-
証明書権限 (CA) からサーバー証明書を受け取るとき、この手順を開始します。
| 1 |
CA からサーバー証明書を受け取るとき、 |
| 2 |
テキストとして 証明書 を表示し、詳細を検証します:
|
| 3 |
テキスト エディタを使用して、
|
| 4 |
|
| 5 |
サーバー証明書の詳細をチェックします。 |
次に行うこと
[ハイブリッド データ セキュリティの前提条件を完了] に戻ります。hdsnode.p12 ファイルと設定したパスワードを [HDS ホストの構成 ISO を作成する] で使用します。
元の証明書の有効期限が切れると、これらのファイルを再使用して新しい証明書を要求できます。
HDS ノードおよびクラウド間のトラフィック
アウトバウンド メトリクス コレクション トラフィック
ハイブリッド データ セキュリティ ノードは、特定のメトリクスをWebex クラウドに送信します。これらには以下が含まれます。heap max、使用される heap、CPU ロード、しきい値カウント。同期および非同期しきい値のメトリクス。暗号化接続、遅延、リクエスト キューの長さのしきい値を含むアラートのメトリクス。データストアのメトリクス。暗号化接続メトリクス。Out-of-Band (リクエストとは別) チャンネルの暗号化されたキー マテリアルを送信します。
インバウンド トラフィック
ハイブリッド データ セキュリティ ノードは、Webex クラウドから次のタイプの着信トラフィックを受信します。
-
暗号サービスからルートされたクライアントからの暗号化リクエスト
-
ノード ソフトウェアへのアップグレード
ハイブリッド データ セキュリティの Squid プロキシを設定する
Websocket は Squid プロキシを通じて接続できません
HTTPS トラフィックを検査する Squid プロキシは、ハイブリッド データ セキュリティが必要とする websocket (wss:) 接続の確立に干渉する可能性があります。これらのセクションでは、wss: トラフィックを無視するためのさまざまなバージョンの Squid の設定方法について説明してい ます。 これは、サービスの適切な運用のためのトラフィックです。
Squid 4 および5
on_unsupported_protocol ディレクティブを squid.conf に追加します。
on_unsupported_protocol すべてトンネルSquid 3.5.27
以下の規則が squid.conf に追加されて、ハイブリッドデータセキュリティのテストに成功しました。これらのルールは、機能を開発し、Webex クラウドを更新する際に変更されることがあります。
acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 all ssl_bump stare step2 all ssl_bump bump step3 all
