Implementatiegids voor hybride gegevensbeveiliging (HDS) voor meerdere huurders

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en eventuele grote fouten die zijn verholpen in de Implementatiehandleiding voor hybride gegevensbeveiliging met meerdere tenants.

Datum	Aangebrachte wijzigingen
25 maart 2026	Het standaardwachtwoord voor het inloggen op de virtuele machine van het Hybrid Data Security-knooppunt is bijgewerkt.
5 december 2025	Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts met de juiste UI-tekst op de pagina Systeemlogboeken en een instructie toegevoegd om het syslog-rootcertificaat te uploaden bij het configureren van TLS-versleuteling.
21 november 2025	Er is een sectie met veelgestelde vragen toegevoegd. Toegevoegde secties Standby-datacenter instellen voor noodherstel en Noodherstel met behulp van Standby-datacenter. De aanduiding (Beta) is verwijderd uit de titel van de implementatiehandleiding.
8 mei 2025	Toegevoegd Verplaats de bestaande HDS-implementatie met één tenant van een partnerorganisatie in Control Hub naar een HDS-configuratie met meerdere tenants in Partner Hub sectie. De syslog-uitvoer is bijgewerkt om de leesbaarheid te verbeteren in het gedeelte Test Your Hybrid Data Security Deployment. Bijgewerkte Vereisten voor virtuele hosts, Taakstroom voor de implementatie van hybride gegevensbeveiliging, en Installeer de HDS Host OVA om ondersteuning voor ESXi 8.0 toe te voegen.
4 maart 2025	Toegevoegd Voer HDS Setup-tool uit met Podman Desktop sectie. Er is een notitie toegevoegd in Docker Desktop-vereisten waarin klanten een alternatieve open-source optie wordt geboden. Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts en Wijzig de knooppuntconfiguratie met instructies voor het gebruik van Podman Desktop voor klanten zonder Docker Desktop-licentie.
30 januari 2025	SQL Server versie 2022 is toegevoegd aan de lijst met ondersteunde SQL-servers in Database server requirements.
15 januari 2025	Toegevoegd Beperkingen van Multi-Tenant Hybrid Data Security.
8 januari 2025	Er is een notitie toegevoegd in Voer de eerste installatie uit en download de installatiebestanden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	De bijgewerkte Virtual Host Requirements, Hybrid Data Security Deployment Task Flow, en Install the HDS Host OVA tonen de nieuwe vereisten van ESXi 7.0.
13 december 2024	Eerste publicatie.

Deactiveer hybride gegevensbeveiliging voor meerdere tenants

Taakstroom voor het deactiveren van HDS in een multi-tenantomgeving

Volg deze stappen om Multi-Tenant HDS volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een Partner met volledige beheerdersrechten.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Verwijder tenantorganisaties.
2	Trek de CMK's van alle klanten in, zoals vermeld in Trek de CMK's in van huurders die uit HDS zijn verwijderd..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partner Hub met behulp van een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybrid Data Security en klik op HDS deactiveren op de HDS-statuskaart.

Veelgestelde vragen

Vraag: Worden de CMK's en de hoofdsleutel in de ISO of in de database opgeslagen?

A: Klantsleutels (CMK's) worden opgeslagen in de database en versleuteld met de hoofdsleutel, die is opgeslagen in de ISO-image.

Vraag: Wordt één sleutel gebruikt om alle gegevens van klantorganisaties te versleutelen?

A: Nee. De gegevens van elke klantorganisatie worden versleuteld met een eigen CMK (Customer Main Key).

Vraag: Wat gebeurt er als ik HDS uitschakel via Partner Hub?

A: Sommige werkzaamheden, zoals het inrichten van een ruimte en het plannen van vergaderingen, zullen direct worden beïnvloed. De bestaande inhoud in de ruimtes blijft toegankelijk totdat de lokale cache verloopt. Na 24 uur worden gebruikers die door de partner worden beheerd, overgezet naar Cloud KMS. Dit kan problemen veroorzaken met eerder aangemaakte ruimtes en één-op-één-ruimtes.

Vraag: Zodra de CMK voor een klantorganisatie is gegenereerd via de HDS Setup-tool, kunnen gebruikers van die klantorganisatie dan direct gebruikmaken van Multi-Tenant HDS?

A: Het kan maximaal 24 uur duren voordat de cloudcache is vernieuwd.

Vraag: Waarom zie ik geen lijst met klanten wanneer ik op de knop 'Klanten toevoegen' klik in Partner Hub?

A: Dit betekent meestal dat er geen klantorganisaties zijn die voldoen aan de Cisco Webex-licentievereisten.

Vraag: Wat zijn de gevolgen als alle HDS-nodes uitvallen of als een netwerkprobleem alle HDS-nodes treft?

A: Werkzaamheden zoals het inrichten van ruimtes en het plannen van vergaderingen worden direct beïnvloed. De bestaande inhoud is alleen toegankelijk totdat de lokale cache verloopt.

Vraag: Zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel die tijdens het aanmaken van de ISO-image is gegenereerd?

A: Ja. Momenteel zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel. In de toekomst zullen partnerorganisaties partnerspecifieke sleutels hebben, vergelijkbaar met de CMK's van klanten.

Vraag: Kunnen de partnerorganisatie en de huurdersorganisaties zich in verschillende regio's bevinden (bijvoorbeeld de VS en de EU)?

A: Ja. Partner- en huurdersorganisaties kunnen in verschillende geografische regio's gevestigd zijn.

Vraag: Bestaat er een manier om sleutels terug te zetten naar Cloud KMS?

A: Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug naar de cloud te verplaatsen.

Vraag: Kan een partner Cloud KMS blijven gebruiken en Multi-Tenant HDS exclusief inzetten voor het beheer van klanten?

A: Nee, dit wordt momenteel niet ondersteund. Ondersteuning voor deze functionaliteit is gepland voor de toekomst.

Vraag: Hoe kan een partner controleren of hun organisatie Multi-Tenant HDS gebruikt voor encryptie?

A: Log in bij Partner Hub. Ga naar Diensten > Hybride gegevensbeveiliging > Instellingen . Als de HDS-status is geactiveerd, maken zowel gebruikers van de partnerorganisatie als toegewezen klanten gebruik van Multi-Tenant HDS.

U kunt ook uw systeemlogboeken raadplegen om te controleren of HDS is geactiveerd. Zie Test uw hybride databeveiligingsimplementatie.

Vraag: Bestaat er een alternatief voor Docker Desktop om de HDS Setup-tool uit te voeren?

A: Ja. Podman Desktop is een open-source alternatief voor Docker Desktop. Zie Voer de HDS-installatietool uit met Podman Desktop.

Vraag: Hoeveel knooppunten kan ik inzetten in een HDS-cluster met meerdere tenants?

A: We raden minimaal twee en maximaal 1000 nodes aan.

Vraag: Wat zijn de netwerkvereisten voor het opzetten van Multi-Tenant HDS?

A: Zie Externe verbindingsvereisten.

Vraag: Is Pro Pack voor Control Hub een vereiste voor partnerorganisaties?

A: Nee. Het Pro Pack is geen vereiste voor partnerorganisaties. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij het instellen van Multi-Tenant HDS.

Vraag: Wordt HSM ondersteund in Multi-Tenant HDS?

A: Nee, Multi-Tenant HDS ondersteunt momenteel geen HSM.

Vraag: Kan ik Multi-Tenant HDS testen met een zelfondertekend certificaat?

A: Nee. Multi-Tenant HDS vereist een certificaat dat is verkregen van een vertrouwde CA en dat voldoet aan alle vereisten die worden vermeld in X.509 Certificate Requirements.

Vraag: Is het nodig om de ISO-image elke keer te mounten wanneer een nieuwe klant wordt toegevoegd in Partner Hub?

A: Nee. De ISO hoeft alleen te worden gekoppeld wanneer ISO-configuraties worden gewijzigd. Wanneer u een nieuwe klant toevoegt aan Partner Hub, zorg er dan voor dat u CMK's kunt aanmaken met behulp van de HDS Setup Tool. Zie Klanthoofdsleutels (CMK's) maken met de HDS-installatietool.

Vraag: Gaan gebruikers van de partnerorganisatie, nadat Multi-Tenant HDS is geïmplementeerd op Partner Hub, gebruikmaken van een on-premises KMS voor sleutelbeheer?

A: Gebruikers kunnen pas na de activering van HDS in Partner Hub gebruikmaken van het on-premises KMS voor sleutelbeheer.

Ga aan de slag met hybride gegevensbeveiliging voor meerdere tenants.

Overzicht van gegevensbeveiliging in een hybride omgeving met meerdere tenants

Vanaf dag één stond gegevensbeveiliging centraal bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end contentversleuteling, mogelijk gemaakt door Webex App-clients die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle Webex App-klanten end-to-end-encryptie met dynamische sleutels die zijn opgeslagen in het cloud-KMS, binnen het beveiligingsdomein van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Multi-Tenant Hybrid Data Security stelt organisaties in staat om HDS te benutten via een vertrouwde lokale partner, die kan optreden als serviceprovider en on-premises encryptie en andere beveiligingsdiensten kan beheren. Deze opzet geeft de partnerorganisatie volledige controle over de implementatie en het beheer van encryptiesleutels en zorgt ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties zetten HDS-instanties op en creëren HDS-clusters waar nodig. Elke instantie kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één enkele organisatie.

Hoewel partnerorganisaties de controle hebben over de implementatie en het beheer, hebben ze geen toegang tot de gegevens en content die door klanten worden gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Dit maakt het voor kleinere organisaties ook mogelijk om HDS te gebruiken, aangezien de sleutelbeheerservice en de beveiligingsinfrastructuur, zoals datacenters, in handen zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging voor meerdere tenants datasoevereiniteit en databeheer mogelijk maakt

Door gebruikers gegenereerde content is beschermd tegen externe toegang, bijvoorbeeld via cloudserviceproviders.
Lokale, vertrouwde partners beheren de encryptiesleutels van klanten waarmee ze al een gevestigde relatie hebben.
Mogelijkheid tot lokale technische ondersteuning, indien aangeboden door de partner.
Ondersteunt vergaderingen, berichten en telefoongesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het opzetten en beheren van klanten binnen een hybride databeveiligingssysteem met meerdere tenants.

Beperkingen van hybride gegevensbeveiliging voor meerdere tenants

Partnerorganisaties mogen geen actieve HDS-implementatie in Control Hub hebben.
Huurders of klantorganisaties die door een partner beheerd willen worden, mogen geen bestaande HDS-implementatie in Control Hub hebben.
Zodra Multi-Tenant HDS door de partner is geïmplementeerd, kunnen alle gebruikers van de klantorganisaties, evenals de gebruikers van de partnerorganisatie, Multi-Tenant HDS gebruiken voor hun encryptiediensten.

De partnerorganisatie en de klantorganisaties die zij beheren, zullen gebruikmaken van dezelfde Multi-Tenant HDS-implementatie.

De partnerorganisatie zal na de implementatie van Multi-Tenant HDS geen gebruik meer maken van cloud-KMS.
Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug te verplaatsen naar Cloud KMS.
Beheerdersrollen hebben bepaalde beperkingen; zie het onderstaande gedeelte voor meer informatie.

Rollen in hybride databeveiliging met meerdere tenants

Partner volledig beheerder - Kan de instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder - Kan instellingen beheren voor klanten die de beheerder heeft aangemaakt of die aan de gebruiker zijn toegewezen.
Volledig beheerder - Beheerder van de partnerorganisatie die gemachtigd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

Volledige Multi-Tenant HDS-configuratie en -beheer voor alle klantorganisaties - Partner met volledige beheerdersrechten en volledige beheerdersrechten vereist.
Beheer van toegewezen huurderorganisaties - Partnerbeheerder en volledige beheerdersrechten vereist.

Architectuur van het beveiligingsdomein

De Webex-cloudarchitectuur scheidt verschillende soorten diensten in afzonderlijke domeinen, of vertrouwensgebieden, zoals hieronder weergegeven.

***Scheidingsgebieden (zonder hybride gegevensbeveiliging)***

Om Hybrid Data Security beter te begrijpen, kijken we eerst naar dit pure cloudscenario, waarbij Cisco alle functies in zijn cloudomgevingen aanbiedt. De identiteitsservice, de enige plek waar gebruikers direct gekoppeld kunnen worden aan hun persoonlijke gegevens zoals e-mailadres, is logisch en fysiek gescheiden van het beveiligingsdomein in datacenter B. Beide zijn op hun beurt weer gescheiden van het domein waar de versleutelde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker draait en zich heeft geauthenticeerd bij de identiteitsservice. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, vinden de volgende stappen plaats:

De klant legt een beveiligde verbinding met de sleutelbeheerservice (KMS) tot stand en vraagt vervolgens een sleutel aan om het bericht te versleutelen. De beveiligde verbinding maakt gebruik van ECDH en het KMS versleutelt de sleutel met een AES-256 hoofdsleutel.
Het bericht wordt versleuteld voordat het de client verlaat. De klant stuurt het naar de indexeringsservice, die versleutelde zoekindexen aanmaakt om toekomstige zoekopdrachten naar de inhoud te vergemakkelijken.
Het versleutelde bericht wordt naar de compliance-dienst gestuurd voor nalevingscontroles.
Het versleutelde bericht wordt opgeslagen in het opslagdomein.

Bij de implementatie van Hybrid Data Security worden de beveiligingsfuncties (KMS, indexering en compliance) verplaatst naar uw eigen datacenter. De overige clouddiensten waaruit Webex bestaat (waaronder identiteitsbeheer en contentopslag) blijven eigendom van Cisco.

Samenwerken met andere organisaties

Gebruikers binnen uw organisatie gebruiken de Webex-app mogelijk regelmatig om samen te werken met externe deelnemers van andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze door een van uw gebruikers is aangemaakt), stuurt uw KMS de sleutel via een met ECDH beveiligd kanaal naar de client. Als een andere organisatie echter de sleutel voor de ruimte bezit, stuurt uw KMS het verzoek via een apart ECDH-kanaal naar de Webex-cloud om de sleutel van de betreffende KMS op te halen, waarna de sleutel via het oorspronkelijke kanaal naar uw gebruiker wordt teruggestuurd.

De KMS-service die op organisatie A draait, valideert de verbindingen met KMS'en in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat voor gebruik met uw Multi-Tenant Hybrid Data Security-implementatie.

Verwachtingen voor de implementatie van hybride gegevensbeveiliging

Een hybride databeveiligingsimplementatie vereist een aanzienlijke inzet en bewustzijn van de risico's die gepaard gaan met het bezit van encryptiesleutels.

Om hybride gegevensbeveiliging te implementeren, moet u het volgende aanleveren:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang beschreven in Bereid uw omgeving voor.

Als u de configuratie-ISO die u voor Hybrid Data Security hebt gemaakt of de database die u hebt aangeleverd volledig kwijtraakt, gaan de sleutels verloren. Sleutelverlies voorkomt dat gebruikers de inhoud van de ruimte en andere versleutelde gegevens in de Webex-app kunnen decoderen. Als dit gebeurt, kunt u een nieuwe implementatie bouwen, maar dan is alleen de nieuwe inhoud zichtbaar. Om te voorkomen dat u de toegang tot uw gegevens verliest, moet u het volgende doen:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid op een snelle noodherstelprocedure in geval van een ramp, zoals een defecte databaseschijf of een datacentrumstoring.

Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug naar de cloud te verplaatsen.

Installatieproces op hoog niveau

Dit document beschrijft de configuratie en het beheer van een hybride databeveiligingsimplementatie voor meerdere tenants.

Hybride gegevensbeveiliging instellen— Dit omvat het voorbereiden van de benodigde infrastructuur en het installeren van de software voor hybride gegevensbeveiliging, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan het cluster en het beheren van hun klantsleutels (CMK's). Dit stelt alle gebruikers van uw klantorganisaties in staat om uw hybride databeveiligingscluster te gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in de volgende drie hoofdstukken uitgebreid behandeld.
Onderhoud uw Hybrid Data Security-implementatie—De Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan eerstelijns support bieden voor deze implementatie en indien nodig Cisco support inschakelen. In Partner Hub kunt u schermmeldingen gebruiken en e-mailwaarschuwingen instellen.
Begrijp veelvoorkomende waarschuwingen, stappen voor probleemoplossing en bekende problemen—Als u problemen ondervindt bij het implementeren of gebruiken van Hybrid Data Security, kunnen het laatste hoofdstuk van deze handleiding en de bijlage met bekende problemen u helpen het probleem te achterhalen en op te lossen.

Hybride implementatiemodel voor gegevensbeveiliging

Binnen uw bedrijfsdatacenter implementeert u Hybrid Data Security als één cluster van knooppunten op afzonderlijke virtuele hosts. De nodes communiceren met de Webex-cloud via beveiligde websockets en beveiligd HTTP.

Tijdens het installatieproces leveren we u het OVA-bestand waarmee u de virtuele appliance kunt instellen op de virtuele machines die u aanlevert. Met de HDS Setup Tool maak je een aangepast ISO-bestand voor de clusterconfiguratie aan, dat je vervolgens op elke node koppelt. Het Hybrid Data Security-cluster maakt gebruik van de door u geleverde Syslogd-server en een PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS Setup Tool.)

Hybride implementatiemodel voor gegevensbeveiliging

Het minimum aantal knooppunten dat je in een cluster kunt hebben, is twee. We raden minimaal drie per cluster aan. Het gebruik van meerdere knooppunten zorgt ervoor dat de dienstverlening niet wordt onderbroken tijdens een software-upgrade of andere onderhoudswerkzaamheden aan een knooppunt. (De Webex-cloud voert slechts één upgrade tegelijk uit op één knooppunt.)

Alle knooppunten in een cluster hebben toegang tot dezelfde sleuteldatastore en registreren hun activiteiten op dezelfde syslog-server. De knooppunten zelf zijn stateless en verwerken belangrijke verzoeken volgens een round-robin-principe, zoals aangegeven door de cloud.

Knooppunten worden actief zodra u ze registreert in Partner Hub. Om een individueel knooppunt buiten gebruik te stellen, kunt u het afmelden en later, indien nodig, opnieuw aanmelden.

Standby-datacenter voor noodherstel

Tijdens de implementatie richt u een beveiligd standby-datacenter in. In geval van een datacentrumramp kunt u uw implementatie handmatig overzetten naar het standby-datacentrum.

Vóór de failover beschikt datacenter A over actieve HDS-nodes en de primaire PostgreSQL- of Microsoft SQL Server-database, terwijl datacenter B een kopie van het ISO-bestand met aanvullende configuraties, virtuele machines die bij de organisatie zijn geregistreerd en een standby-database bevat. Na de failover beschikt datacenter B over actieve HDS-nodes en de primaire database, terwijl datacenter A niet-geregistreerde VM's en een kopie van het ISO-bestand bevat en de database in standbymodus staat. — ***Handmatige failover naar standby-datacenter***

De databases van de actieve en standby-datacenters zijn met elkaar gesynchroniseerd, waardoor de tijd die nodig is om de failover uit te voeren tot een minimum wordt beperkt.

De actieve Hybrid Data Security-nodes moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Richt een standby-datacenter in voor noodherstel.

Volg de onderstaande stappen om het ISO-bestand van het standby-datacenter te configureren:

Voordat u begint

Het standby-datacenter moet een afspiegeling zijn van de productieomgeving met virtuele machines en een back-updatabase van PostgreSQL of Microsoft SQL Server. Als de productieomgeving bijvoorbeeld 3 VM's heeft waarop HDS-nodes draaien, dan moet de back-upomgeving ook 3 VM's hebben. (Zie Standby-datacenter voor noodherstel voor een overzicht van dit failover-model.)
Zorg ervoor dat de databasesynchronisatie tussen de databases van de actieve en passieve clusterknooppunten is ingeschakeld.

1	Start de HDS Setup-tool en volg de stappen die worden vermeld in Een configuratie-ISO maken voor de HDS-hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden uitgevoerd.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe om het knooppunt in de passieve modus te zetten. In deze modus wordt het knooppunt geregistreerd bij de organisatie en verbonden met de cloud, maar verwerkt het geen verkeer. `passiveMode: 'true'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk terug te vinden locatie op.
5	Maak een back-upkopie van het ISO-bestand op uw lokale systeem. Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken..
7	Klik op Instellingen bewerken >CD/DVD Schijf 1 en selecteer Datastore ISO-bestand. Zorg ervoor dat Connected en Connect at power on zijn aangevinkt, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het opstarten van de nodes.
8	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 15 minuten geen alarmen worden gegenereerd.
9	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslogs om te verifiëren dat de knooppunten in passieve modus staan. Je zou het bericht "KMS geconfigureerd in passieve modus" in de systeemlogboeken moeten kunnen zien.

De volgende stappen

Nadat je passiveMode in het ISO-bestand hebt geconfigureerd en het hebt opgeslagen, kun je een andere kopie van het ISO-bestand maken zonder de passiveMode -configuratie en deze op een veilige locatie opslaan. Deze kopie van het ISO-bestand zonder passiveMode kan helpen bij een snel failoverproces tijdens noodherstel. Zie Rampenherstel met behulp van Standby Data Center voor de gedetailleerde failoverprocedure.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy—De standaardinstelling als u de HDS-knooppuntconfiguratie Trust Store niet gebruikt. & Proxyconfiguratie voor het integreren van een proxy. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie—De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken en zouden geen wijzigingen nodig moeten hebben om met een proxy zonder inspectie te werken. Er is geen certificaat update vereist.
Transparante tunneling of inspectieproxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy—Met een expliciete proxy geeft u de HDS-nodes aan welke proxyserver en welk authenticatieschema ze moeten gebruiken. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Volmacht IP/FQDN—Adres waarmee de proxymachine kan worden bereikt.
2. Proxypoort—Een poortnummer dat de proxy gebruikt om te luisteren naar geproxyeerd verkeer.
3. Proxyprotocol—Afhankelijk van wat uw proxyserver ondersteunt, kunt u kiezen uit de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Authenticatietype—Kies uit de volgende authenticatietypen:
  - Geen—Verdere authenticatie is niet vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis—Wordt gebruikt door een HTTP-gebruikersagent om een gebruikersnaam en wachtwoord te verstrekken bij het doen van een verzoek. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Samenvatting—Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Diagram dat een voorbeeld toont van een verbinding tussen Hybrid Data Security, een netwerk en een proxy.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride gegevensbeveiliging in multi-tenantomgevingen

Cisco Webex-licentievereisten

Om hybride gegevensbeveiliging voor meerdere tenants te implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de Multi-Tenant-functie is ingeschakeld.
Huurdersorganisaties: Voor Cisco Webex Control Hub hebt u het Pro Pack nodig. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat je je HDS-nodes installeert, moet je Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

Klanten zonder een Docker Desktop-licentie kunnen een open-source containerbeheertool zoals Podman Desktop gebruiken om containers uit te voeren, te beheren en te creëren. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Certificaatvereisten X.509

De certificaatketen moet aan de volgende eisen voldoen:

Tabel 1. X.509-certificaatvereisten voor hybride implementatie van gegevensbeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA).	Standaard vertrouwen we de CA's in de Mozilla-lijst (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Beschikt over een Common Name (CN) domeinnaam die uw Hybrid Data Security-implementatie identificeert. Het is geen wildcardcertificaat.	Het CN hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die uw organisatie weerspiegelt, bijvoorbeeld `hds.company.com`. De CN mag geen * (jokerteken). De CN wordt gebruikt om de Hybrid Data Security-nodes te verifiëren voor Webex App-clients. Alle Hybrid Data Security-nodes in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met behulp van het CN-domein, niet met een domein dat is gedefinieerd in de x.509v3 SAN-velden. Nadat u een node met dit certificaat hebt geregistreerd, is het niet mogelijk om de CN-domeinnaam te wijzigen.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS-systemen van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS-bestand. #12 bestand Gebruik de gebruiksvriendelijke naam `kms-private-key` om het certificaat, de privésleutel en eventuele tussenliggende certificaten te taggen die u wilt uploaden.	Je kunt een converter zoals OpenSSL gebruiken om het formaat van je certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS Setup Tool uitvoert.

De KMS-software legt geen beperkingen op aan sleutelgebruik of uitgebreid sleutelgebruik. Sommige certificeringsinstanties vereisen dat er uitgebreidere gebruiksbeperkingen voor sleutels op elk certificaat van toepassing zijn, zoals serverauthenticatie. Het is prima om serverauthenticatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als Hybrid Data Security-nodes in uw cluster configureert, moeten aan de volgende vereisten voldoen:

Minimaal twee afzonderlijke hosts (3 aanbevolen) die zich in hetzelfde beveiligde datacenter bevinden.
VMware ESXi 7.0 of 8.0 is geïnstalleerd en actief.

Als u een oudere versie van ESXi gebruikt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB werkgeheugen en 30 GB lokale harde schijfruimte per server.

Vereisten voor de databaseserver

Maak een nieuwe database aan voor het opslaan van sleutels. Gebruik niet de standaarddatabase. De HDS-applicaties maken na installatie het databaseschema aan.

Er zijn twee opties voor de databaseserver. De vereisten voor elk zijn als volgt:

Tabel 2. Vereisten voor databaseservers per type database
PostgreSQL	Microsoft SQL Server
PostgreSQL versie 14, 15 of 16 moet geïnstalleerd en actief zijn.	SQL Server 2016, 2017, 2019 of 2022 (Enterprise of Standard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en Cumulative Update 2 of later.
Minimaal 8 vCPU's, 16 GB werkgeheugen, voldoende schijfruimte en monitoring om te voorkomen dat deze wordt overschreden (2 TB wordt aanbevolen als u de database langdurig wilt gebruiken zonder de opslagruimte te hoeven uitbreiden).	Minimaal 8 vCPU's, 16 GB werkgeheugen, voldoende schijfruimte en monitoring om te voorkomen dat deze wordt overschreden (2 TB wordt aanbevolen als u de database langdurig wilt gebruiken zonder de opslagruimte te hoeven uitbreiden).

De HDS-software installeert momenteel de volgende driverversies voor de communicatie met de databaseserver:

PostgreSQL	Microsoft SQL Server
Postgres JDBC-stuurprogramma 42.2.5	SQL Server JDBC-stuurprogramma 4.6 Deze driverversie ondersteunt SQL Server Always On ( Always On Failover Cluster Instances en Always On availability groups).

PostgreSQL

Microsoft SQL Server

Postgres JDBC-stuurprogramma 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze driverversie ondersteunt SQL Server Always On ( Always On Failover Cluster Instances en Always On availability groups).

Aanvullende vereisten voor Windows-authenticatie bij Microsoft SQL Server.

Als u wilt dat HDS-nodes Windows-authenticatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, dan hebt u de volgende configuratie in uw omgeving nodig:

De HDS-nodes, de Active Directory-infrastructuur en MS SQL Server moeten allemaal gesynchroniseerd zijn met NTP.
Het Windows-account dat u aan HDS-nodes verstrekt, moet beschikken over... read/write toegang tot de database.
De DNS-servers die u aan HDS-nodes verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het HDS-database-exemplaar op uw Microsoft SQL Server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een Service Principal Name registreren voor Kerberos-verbindingen.

De HDS-installatietool, de HDS-launcher en de lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de gegevens uit uw ISO-configuratie om de SPN samen te stellen bij het aanvragen van toegang met Kerberos-authenticatie.

Externe verbindingsvereisten

Configureer uw firewall om de volgende verbindingen voor de HDS-toepassingen toe te staan:

App	Protocol	Poort	Routebeschrijving vanuit de app	Bestemming
Hybride databeveiligingsknooppunten	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die worden vermeld voor Hybrid Data Security in de Aanvullende URL's voor Webex Hybrid Services tabel van Netwerkvereisten voor Webex Services
HDS-installatietool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De Hybrid Data Security-nodes werken met Network Access Translation (NAT) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen naar de domeinbestemmingen in de voorgaande tabel toestaat. Voor inkomende verbindingen naar de Hybrid Data Security-nodes mogen er geen poorten zichtbaar zijn vanaf het internet. Binnen uw datacenter hebben klanten voor administratieve doeleinden toegang nodig tot de Hybrid Data Security-nodes op TCP-poorten 443 en 22.

De URL's voor de Common Identity (CI)-hosts zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	Algemene identiteitshost-URL's
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxies die HTTPS-verkeer inspecteren, kunnen de totstandkoming van een websocketverbinding verstoren. (wss:) verbindingen. Om dit probleem te omzeilen, zie Squid-proxies configureren voor hybride gegevensbeveiliging.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, lost het omzeilen (niet inspecteren) van het verkeer naar wbx2.com en ciscospark.com het probleem op.

Voltooi de voorwaarden voor hybride gegevensbeveiliging.

Gebruik deze checklist om ervoor te zorgen dat u klaar bent om uw Hybrid Data Security-cluster te installeren en configureren.

1	Zorg ervoor dat uw partnerorganisatie de Multi-Tenant HDS-functie heeft ingeschakeld en verkrijg de inloggegevens van een account met volledige beheerdersrechten voor de partnerorganisatie. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor Pro Pack voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509 Certificate Requirements.
3	Maak identieke virtuele hosts aan die u als Hybrid Data Security-nodes in uw cluster gaat configureren. Je hebt minimaal twee aparte hosts nodig (3 aanbevolen) die zich in hetzelfde beveiligde datacenter bevinden en die voldoen aan de vereisten in Virtual Host Requirements.
4	Bereid de databaseserver voor die als belangrijkste gegevensopslag voor het cluster zal fungeren, volgens de vereisten voor de databaseserver. De databaseserver moet zich in hetzelfde beveiligde datacenter bevinden als de virtuele hosts. Maak een database aan voor het opslaan van sleutels. (U moet deze database zelf aanmaken; gebruik niet de standaarddatabase.) De HDS-applicaties maken na installatie het databaseschema aan. Verzamel de gegevens die de knooppunten zullen gebruiken om met de databaseserver te communiceren: de hostnaam of het IP-adres (host) en poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle privileges op de sleutelopslagdatabase
5	Voor snel herstel na een ramp kunt u een back-upomgeving in een ander datacenter inrichten. De back-upomgeving is een exacte kopie van de productieomgeving met virtuele machines en een back-updatabaseserver. Als de productieomgeving bijvoorbeeld 3 VM's heeft waarop HDS-nodes draaien, dan moet de back-upomgeving ook 3 VM's hebben.
6	Configureer een syslog-host om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Stel een veilig back-upbeleid in voor de Hybrid Data Security-nodes, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het configuratie-ISO-bestand dat is gegenereerd voor de Hybrid Data Security-nodes. Omdat de Hybrid Data Security-nodes de sleutels opslaan die worden gebruikt voor het versleutelen en ontsleutelen van inhoud, zal het niet in stand houden van een operationele implementatie leiden tot het ONHERSTELBARE VERLIES van die inhoud. Webex-appclients slaan hun sleutels in de cache op, waardoor een storing mogelijk niet direct merkbaar is, maar na verloop van tijd wel duidelijk zal worden. Hoewel tijdelijke storingen niet te voorkomen zijn, kunnen ze wel worden verholpen. Echter, bij volledig verlies (geen back-ups beschikbaar) van de database of het configuratie-ISO-bestand zullen de klantgegevens onherstelbaar verloren gaan. Van de beheerders van de Hybrid Data Security-nodes wordt verwacht dat zij regelmatig back-ups maken van de database en het configuratie-ISO-bestand, en dat zij voorbereid zijn om het Hybrid Data Security-datacenter opnieuw op te bouwen in geval van een catastrofale storing.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit toestaat voor uw Hybrid Data Security-nodes, zoals beschreven in Externe connectiviteitsvereisten.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bit, of Mac OSX Yosemite 10.10.3 of hoger) en een webbrowser die er toegang toe heeft via http://127.0.0.1:8080. Je gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren. Deze tool bouwt de lokale configuratiegegevens voor alle Hybrid Data Security-nodes. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Docker Desktop-vereisten voor meer informatie. Om de HDS Setup Tool te installeren en uit te voeren, moet de lokale machine beschikken over de connectiviteitsvereisten zoals beschreven in Externe connectiviteitsvereisten.
10	Als u een proxy integreert met Hybrid Data Security, zorg er dan voor dat deze voldoet aan de Proxy Server Requirements.

Een hybride gegevensbeveiligingscluster opzetten

Taakstroom voor de implementatie van hybride gegevensbeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download de installatiebestanden. Download het OVA-bestand naar uw lokale computer voor later gebruik.
2	Maak een configuratie-ISO voor de HDS-hosts. Gebruik de HDS Setup Tool om een ISO-configuratiebestand te maken voor de Hybrid Data Security-nodes.
3	Installeer de HDS Host OVA Maak een virtuele machine aan vanuit het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie om netwerkinstellingen te configureren tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	Configureer de Hybrid Data Security VM Meld u aan bij de VM-console en stel de aanmeldingsgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u dit niet hebt gedaan tijdens de OVA-implementatie.
5	Upload en koppel de HDS-configuratie-ISO. Configureer de VM met behulp van het ISO-configuratiebestand dat u met de HDS Setup Tool hebt gemaakt.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geef dan het type proxy op dat u voor het knooppunt wilt gebruiken en voeg het proxycertificaat indien nodig toe aan de vertrouwensarchief.
7	Registreer het eerste knooppunt in het cluster. Registreer de VM bij de Cisco Webex-cloud als een Hybrid Data Security-node.
8	Maak en registreer meer knooppunten. Voltooi de clusterconfiguratie.
9	Activeer Multi-Tenant HDS op Partner Hub. Activeer HDS en beheer tenantorganisaties via Partner Hub.

Voer de eerste installatie uit en download de installatiebestanden.

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u hebt ingesteld als Hybrid Data Security-nodes). Je gebruikt dit bestand later in het installatieproces.

1	Meld u aan bij Partner Hub en klik vervolgens op Services.
2	Zoek in het gedeelte Hybride de kaart Hybride gegevensbeveiliging en klik vervolgens op Instellen. Het klikken op Instellen in Partner Hub is cruciaal voor het implementatieproces. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een bron toevoegen en klik op .OVA-bestand downloaden op de kaart Software installeren en configureren. Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades van Hybrid Data Security. Dit kan problemen veroorzaken tijdens het upgraden van de applicatie. Zorg ervoor dat je de nieuwste versie van het OVA-bestand downloadt. Je kunt de OVA ook op elk gewenst moment downloaden via de Help sectie. Klik op Instellingen > Hulp > Download Hybrid Data Security-software. Het OVA-bestand wordt automatisch gedownload. Sla het bestand op een locatie op uw computer op.

Maak een configuratie-ISO voor de HDS-hosts.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten vere vereist.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1 tot en met 5 in de onderstaande procedure. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy zonder verificatie

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxy met verificatie

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxy met verificatie

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stable

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Ga met een webbrowser naar localhost, http://127.0.0.1:8080, en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd.

De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.

7

Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.

8

Klik op de overzichtspagina van de installatietool op Aan de slag.

9

Op de pagina ISO Import heb je de volgende opties:

Nee—Als je je eerste HDS-node aanmaakt, heb je geen ISO-bestand om te uploaden.
Ja—Als je al HDS-nodes hebt aangemaakt, selecteer je je ISO-bestand in de bladerfunctie en upload je het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als je nog nooit eerder een certificaat hebt geüpload, upload dan het X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.
Als uw certificaat in orde is, klik dan op Doorgaan.
Als uw certificaat is verlopen of als u het wilt vervangen, selecteer dan Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van de vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account voor HDS in om toegang te krijgen tot uw belangrijkste gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u kiest voor Microsoft SQL Server, krijgt u een veld voor het authenticatietype.
(Alleen Microsoft SQL Server ) Selecteer uw authenticatietype:
- Basisverificatie: U moet een lokale SQL Server-accountnaam invullen in het veld Gebruikersnaam.
- Windows-verificatie: Je hebt een Windows-account nodig in het formaat username@DOMAIN in het veld Gebruikersnaam.
Voer het adres van de databaseserver in in de vorm : of :.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

Je kunt een IP-adres gebruiken voor basisauthenticatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de volgende indeling: dbhost.example.org:1433
Voer de databasenaamin.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle privileges op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
TLS prefereren (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS inschakelt op de databaseserver, proberen de knooppunten een versleutelde verbinding tot stand te brengen.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Database root certificate. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Database root certificate. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Database host en poort. De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het rootcertificaat uploadt (indien nodig) en op Doorgaanklikt, test de HDS Setup Tool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege connectiviteitsverschillen kunnen de HDS-nodes mogelijk wel een TLS-verbinding tot stand brengen, zelfs als de HDS Setup Tool-machine deze niet succesvol kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet via DNS kan worden opgelost vanaf de knooppunten van uw HDS-cluster, gebruik dan een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 Geeft aan dat er wordt gelogd naar Syslogd host 10.92.43.23 op UDP-poort 514.
Als u uw server hebt ingesteld voor TLS-versleuteling, controleer dan Is uw server geconfigureerd voor TLS-onderhandeling/handshake?.

Als u dit selectievakje aanvinkt, zorg er dan voor dat u een TCP-URL invoert, bijvoorbeeld tcp://10.92.43.23:514, en upload het syslog-rootcertificaat.
Selecteer in het vervolgkeuzemenu Kies de beëindiging van syslog-records de juiste instelling voor uw ISO-bestand: Choose of Newline wordt gebruikt voor Graylog en Rsyslog TCP.
- Null-byte -- \x00
- Nieuwe regel -- \n—Selecteer deze optie voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige databaseverbindingsparameters wijzigen in Geavanceerde instellingen. Over het algemeen is dit de enige parameter die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxSize: 10

15

Klik op Doorgaan op het scherm Wachtwoord serviceaccounts opnieuw instellen.

Serviceaccountwachtwoorden hebben een geldigheidsduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen zijn of wanneer u ze wilt resetten om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een gemakkelijk terug te vinden locatie op.

17

Maak een back-upkopie van het ISO-bestand op uw lokale systeem.

Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.

18

Om de Setup-tool af te sluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het configuratie-ISO-bestand. Je hebt het nodig om meer knooppunten voor herstel aan te maken, of om configuratiewijzigingen door te voeren. Als je alle kopieën van het ISO-bestand kwijtraakt, ben je ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels uit uw PostgreSQL- of Microsoft SQL Server-database te herstellen.

Wij hebben nooit een kopie van deze sleutel en kunnen u niet helpen als u hem kwijtraakt.

Installeer de HDS Host OVA

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om in te loggen op de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Selecteer een naam en map voert u een Virtuele machinenaam in voor het knooppunt (bijvoorbeeld "HDS_Node_1"), kiest u een locatie waar de implementatie van het virtuele machineknooppunt kan worden geplaatst en klikt u vervolgens op Volgende.
5	Op de pagina Selecteer een computerbron kiest u de gewenste computerbron en klikt u vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het proces is voltooid, verschijnen de sjabloongegevens.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u op de pagina Configuratie wordt gevraagd de resourceconfiguratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren ] op Volgende om het standaard schijfformaat en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie uit de lijst met vermeldingen om de gewenste verbinding met de VM tot stand te brengen.
10	Configureer op de pagina Sjabloon aanpassen de volgende netwerkinstellingen: Hostnaam—Voer de FQDN (hostnaam en domein) of een hostnaam van één woord in voor het knooppunt. U hoeft het domein niet gelijk te stellen aan het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Om een succesvolle registratie bij de cloud te garanderen, dient u in de FQDN of hostnaam die u voor het knooppunt instelt, uitsluitend kleine letters te gebruiken. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet meer dan 64 tekens bedragen. IP-adres— Voer het IP-adres in voor de interne interface van het knooppunt. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund. Masker—Voer het subnetmaskeradres in puntnotatie in. Bijvoorbeeld, 255.255.255.0. Gateway—Voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat fungeert als toegangspunt tot een ander netwerk. DNS-servers—Voer een door komma's gescheiden lijst in van DNS-servers die domeinnamen omzetten naar numerieke IP-adressen. (Maximaal 4 DNS-vermeldingen zijn toegestaan.) NTP-servers—Voer de NTP-server van uw organisatie in of een andere externe NTP-server die binnen uw organisatie gebruikt kan worden. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. Je kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Plaats alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster bereikbaar zijn vanaf clients in uw netwerk voor beheerdoeleinden. Indien gewenst kunt u de configuratie van de netwerkinstellingen overslaan en de stappen in De Hybrid Data Security VM instellen volgen om de instellingen via de nodeconsole te configureren. De optie om netwerkinstellingen te configureren tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op de VM van het knooppunt en kies vervolgens Energie > Inschakelen. De Hybrid Data Security-software is als gastbesturingssysteem geïnstalleerd op de VM-host. Je bent nu klaar om in te loggen op de console en het knooppunt te configureren. Tips voor probleemoplossing Het kan een paar minuten duren voordat de node-containers opstarten. Tijdens het eerste opstarten verschijnt er een firewallbericht op de console, waardoor u zich niet kunt aanmelden.

Configureer de Hybrid Data Security VM

Gebruik deze procedure om voor de eerste keer in te loggen op de VM-console van het Hybrid Data Security-knooppunt en de inloggegevens in te stellen. Je kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als je dat niet hebt gedaan tijdens de OVA-implementatie.

1	Selecteer in de VMware vSphere-client uw Hybrid Data Security-knooppunt-VM en selecteer het tabblad Console. De virtuele machine start op en er verschijnt een inlogscherm. Als het inlogscherm niet verschijnt, druk dan op Enter.
2	Gebruik de volgende standaard gebruikersnaam en het volgende wachtwoord om in te loggen en de inloggegevens te wijzigen: Login: `admin` Wachtwoord: `ciscosystems` Aangezien u voor het eerst inlogt op uw virtuele machine, moet u het beheerderswachtwoord wijzigen.
3	Als je de netwerkinstellingen al hebt geconfigureerd in Installeer de HDS Host OVA, sla dan de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken.
4	Stel een statische configuratie in met IP-adres, subnetmasker, gateway en DNS-gegevens. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig de hostnaam, het domein of de NTP-server(s) indien nodig om aan uw netwerkbeleid te voldoen. U hoeft het domein niet gelijk te stellen aan het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en herstart de virtuele machine zodat de wijzigingen van kracht worden.

Upload en koppel de HDS-configuratie-ISO.

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u met de HDS Setup Tool hebt gemaakt.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen toegankelijk zijn voor diegenen die er echt toe in staat zijn ("need to know"), namelijk voor de Hybrid Data Security VM's en beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen beheerders toegang hebben tot de datastore.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkernavigatievenster van de VMware vSphere-client op de ESXi-server.
Klik in de lijst Hardware op het tabblad Configuratie op Opslag.
Klik in de lijst met datastores met de rechtermuisknop op de datastore voor uw VM's en klik op Datastore doorbladeren.
Klik op het pictogram 'Bestand uploaden' en klik vervolgens op Bestand uploaden.
Navigeer naar de locatie op uw computer waar u het ISO-bestand hebt gedownload en klik op Openen.
Klik op Ja om te accepteren upload/download Er verschijnt een waarschuwing over de werking, waarna het dialoogvenster van de gegevensopslag wordt gesloten.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing over de beperkte bewerkingsopties te accepteren.
Klik op CD/DVD Drive 1, selecteer de optie om te koppelen vanaf een datastore ISO-bestand en blader naar de locatie waar u het configuratie-ISO-bestand hebt geüpload.
Controleer Verbonden en Verbinden bij inschakelen.
Sla je wijzigingen op en herstart de virtuele machine.

De volgende stappen

Indien uw IT-beleid dit vereist, kunt u het ISO-bestand optioneel ontkoppelen nadat al uw knooppunten de configuratiewijzigingen hebben overgenomen. Zie (Optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxy-ondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de URL voor de HDS-node-configuratie `https://[HDS Node IP or FQDN]/setup` in een webbrowser in, voer de beheerdersgegevens in die u voor de node hebt ingesteld en klik vervolgens op Aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy—De standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparante niet-inspecterende proxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken en zouden geen wijzigingen nodig moeten hebben om met een niet-inspecterende proxy te werken. Er is geen certificaat update vereist. Transparante inspectieproxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy—Met een expliciete proxy geeft u de client (HDS-nodes) aan welke proxyserver moet worden gebruikt. Deze optie ondersteunt verschillende authenticatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Volmacht IP/FQDN—Adres waarmee de proxymachine kan worden bereikt. Proxypoort—Een poortnummer dat de proxy gebruikt om te luisteren naar geproxyeerd verkeer. Proxyprotocol—Kies http (bekijkt en beheert alle verzoeken die van de client worden ontvangen) of https (biedt een kanaal naar de server en de client ontvangt en valideert het certificaat van de server). Kies een optie op basis van wat uw proxyserver ondersteunt. Authenticatietype—Kies uit de volgende authenticatietypen: Geen—Verdere authenticatie is niet vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis—Wordt gebruikt door een HTTP-gebruikersagent om een gebruikersnaam en wachtwoord te verstrekken bij het doen van een verzoek. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Samenvatting—Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, volg dan deze stappen en bekijk vervolgens Schakel de geblokkeerde externe DNS-resolutiemodus uit.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Registreer het eerste knooppunt in het cluster.

Deze taak neemt het generieke knooppunt dat u hebt gemaakt in De Hybrid Data Security VM instellen, registreert het knooppunt bij de Webex-cloud en maakt er een Hybrid Data Security-knooppunt van.

Wanneer u uw eerste knooppunt registreert, creëert u een cluster waaraan het knooppunt wordt toegewezen. Een cluster bevat een of meer knooppunten die zijn ingezet om redundantie te bieden.

Voordat u begint

Zodra je begint met de registratie van een node, moet je deze binnen 60 minuten voltooien, anders moet je opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u de kaart Hybride gegevensbeveiliging en klikt u op Instellen.
4	Klik op de pagina die wordt geopend op Een bron toevoegen.
5	Voer in het eerste veld van de kaart Een nieuw cluster aanmaken een naam in voor het cluster waaraan u uw Hybrid Data Security-node wilt toewijzen. We raden aan om een cluster te benoemen op basis van de geografische locatie van de knooppunten in het cluster. Voorbeelden: "San Francisco" of "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik onderaan het scherm op Toevoegen. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De Hybrid Data Security VM instellen. Er verschijnt een bericht waarin staat dat u uw node kunt registreren bij Webex.
7	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je Webex-organisatie toestemming wilt geven om toegang te krijgen tot je node.
8	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij de Webex-cloud.
9	Klik op de link of sluit het tabblad om terug te gaan naar de pagina Hybride gegevensbeveiliging van Partner Hub. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources. Het apparaat downloadt automatisch de nieuwste software vanuit de cloud.

Maak en registreer meer knooppunten.

Om extra knooppunten aan uw cluster toe te voegen, hoeft u alleen maar extra virtuele machines aan te maken, hetzelfde configuratie-ISO-bestand te koppelen en vervolgens het knooppunt te registreren. Wij raden aan om minimaal 3 nodes te hebben.

Voordat u begint

Zodra je begint met de registratie van een node, moet je deze binnen 60 minuten voltooien, anders moet je opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine aan vanuit de OVA, door de stappen in Installeer de HDS Host OVAte herhalen.
2	Stel de initiële configuratie in op de nieuwe VM door de stappen in De hybride databeveiligings-VM instellente herhalen.
3	Herhaal op de nieuwe VM de stappen in Upload en koppel de HDS-configuratie-ISO.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Configureer het HDS-knooppunt voor proxy-integratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. In https://admin.webex.com, selecteer Services in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Hybride de kaart Hybride gegevensbeveiliging en klik op Alles bekijken. De pagina met bronnen voor hybride gegevensbeveiliging verschijnt. Het nieuw gecreëerde cluster verschijnt op de pagina Resources. Klik op het cluster om de aan het cluster toegewezen knooppunten te bekijken. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw node kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je organisatie toestemming wilt geven om toegang te krijgen tot je node. Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij de Webex-cloud. Klik op de link of sluit het tabblad om terug te gaan naar de pagina Hybride gegevensbeveiliging van Partner Hub. Knooppunt toegevoegd Er verschijnt ook een pop-upbericht onderaan het scherm in Partner Hub. Uw node is geregistreerd.

De volgende stappen

Om extra clusters te creëren, logt u in bij Partner Hub en klikt u op Services. > Hybride gegevensbeveiliging > Alles bekijken > Voeg een cluster toe. Volg de stappen die in het bovenstaande gedeelte worden beschreven om het eerste knooppunt aan de extra cluster(s) toe te voegen.

Beheer tenantorganisaties op een hybride databeveiligingsomgeving met meerdere tenants.

Activeer Multi-Tenant HDS op Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor on-premises encryptiesleutels en andere beveiligingsdiensten.

Voordat u begint

Zorg ervoor dat u de configuratie van uw Multi-Tenant HDS-cluster met het vereiste aantal knooppunten hebt voltooid.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellingen bewerken.
4	Klik op Activeer HDS op de HDS-status kaart.

Voeg huurdersorganisaties toe in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw hybride gegevensbeveiligingscluster.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Alles bekijken.
4	Ga naar het tabblad Toegewezen klanten. Het tabblad Toegewezen klanten wordt pas weergegeven nadat u een cluster hebt aangemaakt.
5	Klik op Klanten toevoegen.
6	Selecteer de klant die u wilt toevoegen in het keuzemenu.
7	Klik op Toevoegen, de klant wordt toegevoegd aan het cluster.
8	Herhaal stap 5 tot en met 7 om meerdere klanten aan uw cluster toe te voegen.
9	Klik op Klaar onderaan het scherm zodra je de klanten hebt toegevoegd. Toegevoegde klanten worden gesynchroniseerd over alle beschikbare clusters.

De volgende stappen

Voer de HDS Setup-tool uit zoals beschreven in Klanthoofdsleutels (CMK's) aanmaken met de HDS Setup-tool om het installatieproces te voltooien.

Maak klanthoofdsleutels (CMK's) aan met behulp van de HDS-configuratietool.

Voordat u begint

Wijs klanten toe zoals beschreven in Voeg tenantorganisaties toe in Partner Hub. Gebruik de HDS Setup-tool om het installatieproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via Docker-omgevingsvariabelen bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Ga met een webbrowser naar localhost, `http://127.0.0.1:8080`en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd. De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.
7	Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.
8	Klik op de overzichtspagina van de installatietool op Aan de slag.
9	Klik op de pagina ISO Import op Ja.
10	Selecteer je ISO-bestand in de browser en upload het. Zorg voor een verbinding met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK Management, waar u de volgende drie manieren vindt om Tenant CMK's te beheren. CMK aanmaken voor alle organisaties of CMK aanmaken - Klik op deze knop in de banner bovenaan het scherm om CMK's aan te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik vervolgens op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op naast de status 'CMK-beheer in behandeling' van een specifieke organisatie in de tabel en klik vervolgens op CMK maken om een CMK voor die organisatie te maken.
12	Zodra de CMK-aanmaak succesvol is, verandert de status in de tabel van CMK-beheer in behandeling naar CMK beheerd.
13	Als het aanmaken van de CMK niet lukt, wordt er een foutmelding weergegeven.

Verwijder huurderorganisaties

Voordat u begint

Na verwijdering kunnen gebruikers van klantorganisaties HDS niet langer gebruiken voor hun encryptiebehoeften en verliezen ze alle bestaande opslagruimte. Voordat u klantorganisaties verwijdert, dient u contact op te nemen met uw Cisco-partner of accountmanager.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Alles bekijken.
4	Klik op de pagina die verschijnt op het tabblad Toegewezen klanten.
5	Klik in de lijst met weergegeven klantorganisaties op aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik vervolgens op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken, zoals beschreven in CMK's intrekken van tenants die uit HDS zijn verwijderd.

Trek de CMK-licenties in van huurders die uit HDS zijn verwijderd.

Voordat u begint

Verwijder klanten zoals beschreven in Verwijder huurderorganisaties. Gebruik de HDS Setup-tool om het verwijderingsproces te voltooien voor de verwijderde klantorganisaties.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Ga met een webbrowser naar localhost, `http://127.0.0.1:8080`en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd. De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.
7	Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.
8	Klik op de overzichtspagina van de installatietool op Aan de slag.
9	Klik op de pagina ISO Import op Ja.
10	Selecteer je ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK Management, waar u de volgende drie manieren vindt om Tenant CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle verwijderde organisaties in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik vervolgens op CMK's intrekken om de CMK's van alle verwijderde organisaties in te trekken. Klik op naast de status CMK die moet worden ingetrokken van een specifieke organisatie in de tabel en klik op CMK intrekken om de CMK voor die specifieke organisatie in te trekken.
12	Zodra de CMK-intrekking succesvol is, zal de klantorganisatie niet langer in de tabel verschijnen.
13	Als de intrekking van de CMK niet lukt, wordt er een foutmelding weergegeven.

Test uw implementatie van Hybrid Data Security.

Test uw hybride implementatie voor gegevensbeveiliging.

Gebruik deze procedure om scenario's voor encryptie van hybride gegevensbeveiliging in een multi-tenantomgeving te testen.

Voordat u begint

Configureer uw hybride databeveiligingsimplementatie voor meerdere tenants.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken worden doorgegeven aan uw Multi-Tenant Hybrid Data Security-implementatie.

1

De sleutels voor een bepaalde ruimte worden ingesteld door de maker van die ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte aan.

Als u de Hybrid Data Security-implementatie deactiveert, is de inhoud in ruimtes die gebruikers maken niet langer toegankelijk zodra de in de clientcache opgeslagen kopieën van de versleutelingssleutels zijn vervangen.

2

Stuur berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de belangrijkste verzoeken worden doorgegeven aan uw Hybrid Data Security-implementatie.

Als een gebruiker van een nieuw toegevoegde klantorganisatie een actie uitvoert, verschijnt de organisatie-ID van die organisatie in de logboeken. Deze ID kan worden gebruikt om te controleren of de organisatie gebruikmaakt van Multi-Tenant HDS. Controleer de waarde van kms.data.orgId in de syslogs.

Om te controleren of een gebruiker eerst een beveiligd kanaal naar de KMS tot stand brengt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION. :

Je zou een vermelding moeten vinden zoals de volgende (identificaties zijn ingekort voor de leesbaarheid):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een bestaande sleutel bij het KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY. :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een verzoek heeft ingediend voor het aanmaken van een nieuw KMS Resource Object (KRO) wanneer een ruimte of andere beveiligde resource wordt aangemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION. :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Monitor de status van de hybride gegevensbeveiliging

Een statusindicator in Partner Hub laat zien of alles naar behoren werkt met de Multi-Tenant Hybrid Data Security-implementatie. Voor meer proactieve waarschuwingen kunt u zich aanmelden voor e-mailnotificaties. U wordt op de hoogte gesteld wanneer er alarmen zijn die de dienstverlening beïnvloeden of wanneer er software-updates beschikbaar zijn.

1	In Partner Hub, selecteer Services in het menu aan de linkerkant van het scherm.
2	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellingen bewerken. De pagina 'Hybride gegevensbeveiligingsinstellingen' verschijnt.
3	Typ in het gedeelte 'E-mailmeldingen' een of meer e-mailadressen, gescheiden door komma's, en druk op Enter.

Beheer uw HDS-implementatie.

Beheer HDS-implementatie

Gebruik de hier beschreven taken om uw Hybrid Data Security-implementatie te beheren.

Clusterupgradeplanning instellen

Software-upgrades voor Hybrid Data Security worden automatisch op clusterniveau uitgevoerd, waardoor alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens het upgradeschema voor het cluster. Wanneer er een software-upgrade beschikbaar komt, hebt u de mogelijkheid om het cluster handmatig te upgraden vóór het geplande upgradetijdstip. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken. 3:00 AM Daily Verenigde Staten: America/Los Angeles. U kunt er ook voor kiezen om een geplande upgrade uit te stellen, indien nodig.

Om het upgradeschema in te stellen:

1	Meld u aan bij Partner Hub.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellen
4	Selecteer het cluster op de pagina Hybride gegevensbeveiligingsbronnen.
5	Klik op het tabblad Clusterinstellingen.
6	Selecteer op de pagina Clusterinstellingen, onder Upgradeplanning, de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone wordt de eerstvolgende beschikbare upgrade-datum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door te klikken op Uitstellen met 24 uur.

Wijzig de knooppuntconfiguratie

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset—Zowel het oude als het nieuwe wachtwoord blijven tot 10 dagen geldig. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset—De oude wachtwoorden werken direct niet meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten vereist.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1.a tot en met 1.e in de onderstaande procedure. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in 1.e. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor Partner Hub in en klik vervolgens op Accepteren om verder te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Om de Setup-tool af te sluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als u slechts één HDS-node hebt draaien, maakdan een nieuwe Hybrid Data Security- node VM aan en registreer deze met behulp van het nieuwe configuratie-ISO-bestand. Voor meer gedetailleerde instructies, zie Meer knooppunten aanmaken en registreren. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partner Hub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD Drive 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe configuratie-ISO-bestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het Hybrid Data Security-knooppunt (IP-adres). address/setup, Voer https://192.0.2.0/setup), bijvoorbeeld de beheerdersgegevens in die u voor het knooppunt hebt ingesteld en klik vervolgens opAanmelden .
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, is geblokkeerde externe DNS-resolutie ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een Hybrid Data Security-node uit de Webex-cloud te verwijderen. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om in te loggen op de ESXi virtuele host en de virtuele machine uit te schakelen.

2

Verwijder het knooppunt:

Meld u aan bij Partner Hub en selecteer vervolgens Services.
Klik op de kaart Hybride gegevensbeveiliging op Alles weergeven om de pagina met bronnen voor hybride gegevensbeveiliging weer te geven.
Selecteer uw cluster om het overzichtspaneel weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Deze node deactiveren in het paneel dat aan de rechterkant verschijnt.
Je kunt het knooppunt ook deactiveren door op de drie puntjes (...) rechts van het knooppunt te klikken en Knooppunt deactiverente selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkernavigatievenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als je de virtuele machine niet verwijdert, vergeet dan niet het configuratie-ISO-bestand te ontkoppelen. Zonder het ISO-bestand kunt u de virtuele machine niet gebruiken om toegang te krijgen tot uw beveiligingsgegevens.

Rampenherstel met behulp van een standby-datacenter

De belangrijkste dienst die uw Hybrid Data Security-cluster levert, is het aanmaken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die in de Webex-cloud is opgeslagen, te versleutelen. Voor elke gebruiker binnen de organisatie die is toegewezen aan Hybrid Data Security, worden nieuwe aanvragen voor het aanmaken van sleutels doorgestuurd naar het cluster. Het cluster is er ook verantwoordelijk voor dat de door het cluster aangemaakte sleutels worden teruggegeven aan alle gebruikers die gemachtigd zijn om ze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de cruciale functie vervult van het leveren van deze sleutels, is het van essentieel belang dat het cluster operationeel blijft en dat er adequate back-ups worden gemaakt. Verlies van de Hybrid Data Security-database of van het configuratie-ISO-bestand dat voor het schema wordt gebruikt, zal leiden tot ONHERSTELBAAR VERLIES van klantgegevens. De volgende procedures zijn verplicht om dergelijk verlies te voorkomen:

Als een calamiteit ervoor zorgt dat de HDS-implementatie in het primaire datacenter niet beschikbaar is, volg dan deze procedure om handmatig over te schakelen naar het standby-datacenter.

Voordat u begint

Gebruik het meest recente ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat voorheen actief was, om de hieronder beschreven failoverprocedure uit te voeren.

1	Start de HDS Setup-tool en volg de stappen die worden vermeld in Een configuratie-ISO maken voor de HDS-hosts.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe of verwijder de `passiveMode` configuratie om het knooppunt te activeren. Het knooppunt kan het verkeer verwerken zodra dit is geconfigureerd. `passiveMode: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk terug te vinden locatie op.
5	Maak een back-upkopie van het ISO-bestand op uw lokale systeem. Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken..
7	Klik op Instellingen bewerken >CD/DVD Schijf 1 en selecteer Datastore ISO-bestand. Zorg ervoor dat Connected en Connect at power on zijn aangevinkt, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het opstarten van de nodes.
8	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 15 minuten geen alarmen worden gegenereerd.
9	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslog-uitvoer om te verifiëren dat de knooppunten van het standby-datacenter niet in de passieve modus staan. De melding "KMS geconfigureerd in passieve modus" mag niet in de systeemlogboeken verschijnen.

De volgende stappen

Als het primaire datacenter na de failover weer actief wordt, zet u het standby-datacenter opnieuw in de passieve modus door de stappen te volgen die beschreven staan in Standby-datacenter instellen voor noodherstel.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie werkt met de ISO-chip gemonteerd. Sommige klanten geven er echter de voorkeur aan om ISO-bestanden niet continu gekoppeld te laten. Je kunt het ISO-bestand ontkoppelen nadat alle HDS-nodes de nieuwe configuratie hebben overgenomen.

Je gebruikt de ISO-bestanden nog steeds om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO aanmaakt of een ISO bijwerkt via de Setup Tool, moet u de bijgewerkte ISO op al uw HDS-nodes koppelen. Zodra al uw knooppunten de configuratiewijzigingen hebben overgenomen, kunt u de ISO met deze procedure weer ontkoppelen.

Voordat u begint

Upgrade al uw HDS-nodes naar versie 2025.06.02.6983 of later.

1	Schakel een van uw HDS-nodes uit.
2	Selecteer in de vCenter Server Appliance het HDS-knooppunt.
3	Kies Instellingen bewerken > CD/DVD schijf en vink Datastore ISO-bestanduit.
4	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 20 minuten geen alarmen worden gegenereerd.
5	Herhaal dit voor elk HDS-knooppunt.

Problemen met hybride gegevensbeveiliging oplossen

Waarschuwingen bekijken en problemen oplossen

Een hybride databeveiligingsimplementatie wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn, of als het cluster zo traag werkt dat aanvragen een time-out krijgen. Als gebruikers geen toegang hebben tot uw Hybrid Data Security-cluster, ondervinden ze de volgende symptomen:

Er kunnen geen nieuwe ruimtes worden aangemaakt (het is niet mogelijk om nieuwe sleutels aan te maken).
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers toegevoegd aan een ruimte (sleutels kunnen niet worden opgehaald)
- Bestaande gebruikers in een ruimte die een nieuwe client gebruiken (kunnen geen sleutels ophalen)
Bestaande gebruikers in een omgeving kunnen succesvol blijven werken zolang hun clients een cache met de encryptiesleutels hebben.

Het is belangrijk dat u uw Hybrid Data Security-cluster goed in de gaten houdt en eventuele waarschuwingen onmiddellijk afhandelt om serviceonderbrekingen te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van Hybrid Data Security, geeft Partner Hub waarschuwingen weer aan de organisatiebeheerder en verzendt het e-mails naar het geconfigureerde e-mailadres. De waarschuwingen hebben betrekking op veel voorkomende scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om ze op te lossen
Waarschuwing	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met de lokale database is mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste serviceaccountgegevens zijn gebruikt in de nodeconfiguratie.
Fout bij toegang tot de cloudservice.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Externe verbindingsvereisten.
Registratie voor cloudservice verlengen.	De registratie voor clouddiensten is stopgezet. De verlenging van de registratie is in behandeling.
Het aantal aanmeldingen voor cloudservices is gedaald.	Registratie voor cloudservices beëindigd. De dienst wordt afgesloten.
De dienst is nog niet geactiveerd.	Activeer HDS in Partner Hub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde domein voor serviceactivering. De meest waarschijnlijke oorzaak is dat de CN van het certificaat recent is gewijzigd en nu verschilt van de CN die tijdens de initiële installatie is gebruikt.
Authenticatie bij cloudservices is mislukt.	Controleer de juistheid en eventuele vervaldatum van de serviceaccountgegevens.
Het openen van het lokale sleutelarchiefbestand is mislukt.	Controleer de integriteit en juistheid van het wachtwoord in het lokale sleutelarchiefbestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Het lukt niet om statistieken te publiceren.	Controleer de toegang tot externe cloudservices via het lokale netwerk.
/media/configdrive/hds De map bestaat niet.	Controleer de ISO-mountconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om bij het opnieuw opstarten te worden aangekoppeld en of het aankoppelen succesvol verloopt.
De configuratie van de tenantorganisatie is niet voltooid voor de toegevoegde organisaties.	Voltooi de installatie door CMK's aan te maken voor de nieuw toegevoegde tenantorganisaties met behulp van de HDS Setup Tool.
De configuratie van de tenantorganisatie is niet voltooid voor de verwijderde organisaties.	Voltooi de installatie door de CMK's in te trekken van de tenantorganisaties die zijn verwijderd met behulp van de HDS Setup Tool.

Problemen met hybride gegevensbeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybrid Data Security.

1	Meld u aan bij Partner Hub.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Gebeurtenissen.
4	Bekijk de pagina met de gebeurtenisgeschiedenis op eventuele waarschuwingen en los de problemen op die u daar aantreft. Zie onderstaande afbeelding ter referentie.
5	Controleer de uitvoer van de syslog-server op activiteit van de Hybrid Data Security-implementatie. Filter op woorden zoals 'Waarschuwing' en 'Fout' om het oplossen van problemen te vergemakkelijken.
6	Neem contact op met Cisco-ondersteuning .

Overige opmerkingen

Bekende problemen met hybride gegevensbeveiliging

Als u al uw actieve Hybrid Data Security-clusters uitschakelt (door ze te verwijderen in Partner Hub of door alle knooppunten uit te schakelen), uw configuratie-ISO-bestand kwijtraakt of de toegang tot de keystore-database verliest, kunnen Webex App-gebruikers van klantorganisaties geen gebruik meer maken van ruimtes in hun Personenlijst die zijn aangemaakt met sleutels uit uw KMS. We hebben momenteel geen oplossing voor dit probleem en raden u dringend aan uw HDS-services niet uit te schakelen zodra deze actieve gebruikersaccounts verwerken.
Een klant die al een ECDH-verbinding met een KMS heeft, behoudt die verbinding gedurende een bepaalde periode (waarschijnlijk een uur).

Voer de HDS Setup-tool uit met Podman Desktop.

Podman is een gratis en open-source tool voor containerbeheer waarmee je containers kunt uitvoeren, beheren en creëren. Podman Desktop kan worden gedownload via https://podman-desktop.io/downloads.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Om er toegang toe te krijgen, download en voer Podman uit op die computer. Voor het installatieproces zijn de aanmeldgegevens van een Control Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

De volgende stappen

Volg de resterende stappen in Een configuratie-ISO maken voor de HDS-hosts of De knooppuntconfiguratie wijzigen om een ISO-configuratie te maken of te wijzigen.

Verplaats de bestaande HDS-implementatie voor één tenant van een partnerorganisatie in Control Hub naar een HDS-configuratie voor meerdere tenants in Partner Hub.

De conversie van een bestaande HDS-implementatie met één tenant van een partnerorganisatie, beheerd in Control Hub, naar een HDS-implementatie met meerdere tenants, beheerd in Partner Hub, omvat hoofdzakelijk het deactiveren van de HDS-service in Control Hub, het uitschrijven van knooppunten en het verwijderen van het cluster. Vervolgens kunt u inloggen op Partner Hub, de knooppunten registreren, Multi-Tenant HDS activeren en klanten aan uw cluster toevoegen.

De term "single-tenant" verwijst simpelweg naar een bestaande HDS-implementatie in Control Hub.

Deactiveer HDS, meld knooppunten af en verwijder alle clusters in Control Hub.

1	Meld u aan bij Control Hub. Klik in het linkerpaneel op Hybride. Klik op de Hybrid Data Security-kaart op Instellingen bewerken.
2	Ga op de instellingenpagina naar beneden naar het gedeelte 'Deactiveren' en klik op Deactiveren.
3	Klik na de deactivering op het tabblad Resources.
4	Op de pagina Resources worden de clusters in uw HDS-implementatie weergegeven. Klik op een cluster; er wordt een pagina geopend met alle knooppunten binnen dat cluster.
5	Klik op aan de rechterkant en klik op Knooppunt deregistreren. Herhaal dit proces voor alle knooppunten in het cluster.
6	Als uw implementatie meerdere clusters bevat, herhaal dan stap 4 en stap 5 totdat alle knooppunten zijn afgemeld.
7	Klik op Clusterinstellingen > Verwijderen.
8	Klik op Verwijdering bevestigen om het cluster te deactiveren.
9	Herhaal dit proces voor alle clusters in uw HDS-implementatie. Na de deactivering van HDS, het uitschrijven van knooppunten en het verwijderen van clusters, wordt onderaan de Hybrid Data Service-kaart in Control Hub Setup not completed weergegeven.

Activeer Multi-Tenant HDS voor de partnerorganisatie in Partner Hub en voeg klanten toe.

Voordat u begint

Alle voorwaarden die worden vermeld in Vereisten voor hybride gegevensbeveiliging met meerdere tenants zijn hier van toepassing. Zorg er bovendien voor dat dezelfde database en certificaten worden gebruikt tijdens de migratie naar Multi-Tenant HDS.

1	Log in bij Partner Hub. Klik op Services in het linkerpaneel. Gebruik dezelfde ISO-image als bij uw vorige HDS-implementatie om de knooppunten te configureren. Dit zorgt ervoor dat berichten en content die door gebruikers in de vorige HDS-implementatie zijn gegenereerd, nog steeds toegankelijk zijn in de nieuwe multi-tenantomgeving.
2	In het gedeelte Hybride vindt u de kaart Hybride gegevensbeveiliging en klikt u op Instellen.
3	Klik op de pagina die wordt geopend op Een bron toevoegen.
4	Voer in het eerste veld van de kaart Een cluster maken een naam in voor het cluster waaraan u uw Hybrid Data Security-node wilt toewijzen. We raden aan om een cluster te benoemen op basis van de geografische locatie van de knooppunten in het cluster. Voorbeelden: "San Francisco" of "New York" of "Dallas"
5	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik onderaan het scherm op Toevoegen. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De Hybrid Data Security VM instellen. Er verschijnt een bericht waarin staat dat u uw node kunt registreren bij Webex.
6	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je Webex-organisatie toestemming wilt geven om toegang te krijgen tot je node.
7	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij Webex Cloud. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources. Het apparaat downloadt automatisch de nieuwste software vanuit de cloud.
8	Ga naar het tabblad Instellingen en klik op Activeren op de HDS-statuskaart. Geactiveerde HDS bericht verschijnt onderaan het scherm.
9	Klik op het tabblad Toegewezen klanten.
10	Klik op Klanten toevoegen.
11	Selecteer de klant die u wilt toevoegen in het keuzemenu.
12	Klik op Toevoegen, de klant wordt toegevoegd aan het cluster.
13	Herhaal stap 11 tot en met 13 om meerdere klanten aan uw cluster toe te voegen.
14	Klik op Klaar onderaan het scherm zodra je de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS Setup-tool uit zoals beschreven in Klanthoofdsleutels (CMK's) aanmaken met de HDS Setup-tool om het installatieproces te voltooien.

Gebruik OpenSSL om een PKCS12-bestand te genereren.

Voordat u begint

OpenSSL is een van de tools die gebruikt kan worden om het PKCS12-bestand in het juiste formaat te brengen voor het laden in de HDS Setup Tool. Er zijn andere manieren om dit te doen, en wij ondersteunen of promoten geen enkele methode boven een andere.
Als u ervoor kiest om OpenSSL te gebruiken, bieden we deze procedure aan als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Zorg dat u deze vereisten begrijpt voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel aan.
Start deze procedure zodra u het servercertificaat van uw certificeringsinstantie (CA) ontvangt.

1	Wanneer je het servercertificaat van je CA ontvangt, sla het dan op als `hdsnode.pem`.
2	Toon het certificaat als tekst en controleer de gegevens. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een teksteditor om een certificaatbundelbestand te maken met de naam `hdsnode-bundle.pem`. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de root-CA-certificaten bevatten, in het onderstaande formaat: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand aan met de gebruiksvriendelijke naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te versleutelen, zodat deze in de uitvoer wordt weergegeven. Controleer vervolgens of de privésleutel en het eerste certificaat de regels `friendlyName: kms-private-key`bevatten. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Terug naar Voltooi de voorwaarden voor hybride gegevensbeveiliging. Je gebruikt het hdsnode.p12 bestand en het wachtwoord dat je ervoor hebt ingesteld in Een configuratie-ISO maken voor de HDS-hosts.

Je kunt deze bestanden hergebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-nodes en de cloud.

Uitgaande gegevensverzameling Verkeer

De Hybrid Data Security-nodes sturen bepaalde meetgegevens naar de Webex-cloud. Deze omvatten systeemstatistieken voor maximale heapgrootte, gebruikte heap, CPU-belasting en aantal threads; statistieken over synchrone en asynchrone threads; statistieken over waarschuwingen met betrekking tot een drempelwaarde voor versleutelde verbindingen, latentie of de lengte van de aanvraagwachtrij; statistieken over de datastore; en statistieken over versleutelde verbindingen. De knooppunten versturen versleuteld sleutelmateriaal via een extern kanaal (los van het verzoek).

Inkomend verkeer

De Hybrid Data Security-nodes ontvangen de volgende soorten inkomend verkeer vanuit de Webex-cloud:

Versleutelingsverzoeken van clients, die worden doorgestuurd door de versleutelingsservice.
Upgrades van de node-software

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxies die HTTPS-verkeer inspecteren, kunnen de totstandkoming van websocket-verbindingen (wss:) verstoren die Hybrid Data Security vereist. Deze secties geven richtlijnen voor het configureren van verschillende versies van Squid om wss: -verkeer te negeren voor een correcte werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol -richtlijn toe aan squid.conf:

on_unsupported_protocol tunnel all

Inktvis 3.5.27

We hebben Hybrid Data Security succesvol getest met de volgende regels toegevoegd aan squid.conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nieuwe en gewijzigde informatie

Deze tabel beschrijft nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en belangrijke fouten die zijn opgelost in de Implementatiehandleiding voor hybride databeveiliging voor meerdere tenants.

Datum	Wijzigingen aangebracht
30 juli, 2026	De X is bijgewerkt.509 Gedeelte Certificaatvereisten om aan te geven dat alleen RSA-certificaten worden ondersteund.
02 juli, 2026	Het gedeelte Cloudagenten uitschakelen is toegevoegd.
23 juni, 2026	Het gedeelte HDS-logboeken interpreteren en agentlabels begrijpen is toegevoegd.
01 juni, 2026	Het gedeelte API's voor HDS-ontwikkelaars is toegevoegd. Een opmerking toegevoegd aan de HDS-setuptool uitvoeren via het gedeelte Podman Desktop.
16 april, 2026	Databaseserververeisten bijgewerkt om ondersteuning voor PostgreSQL-versies 17 en 18 toe te voegen.
25 maart, 2026	Het standaardwachtwoord voor aanmelding bij de VM van het knooppunt voor hybride databeveiliging is bijgewerkt.
05 december, 2025	Een configuratie-ISO maken voor de HDS-hosts bijgewerkt met de juiste UI-tekst op de pagina Systeemlogboeken en instructies toegevoegd om het basiscertificaat syslog te uploaden bij het configureren van de TLS-codering.
21 november, 2025	Het gedeelte Veelgestelde vragen is toegevoegd. Stand-bydatacenter instellen voor noodherstel en Noodherstel met de secties Stand-bydatacenter toegevoegd. Verwijderd (bèta) uit de titel van de implementatiehandleiding.
08 mei, 2025	Verplaats de bestaande HDS-implementatie met één tenant van een partnerorganisatie in Control Hub naar een gedeelte HDS-configuratie met meerdere tenants in Partner Hub. De syslog-uitvoer is bijgewerkt om de leesbaarheid te verbeteren in het gedeelte Uw implementatie van hybride databeveiliging testen. Vereisten voor virtuele host, Taakstroom voor implementatie van hybride databeveiliging en Installeer de HDS-host-OVA om ESXi 8 toe te voegen.0 ondersteuning.
04 maart, 2025	De HDS-setuptool uitvoeren via het gedeelte Podman Desktop is toegevoegd. Een opmerking toegevoegd in Docker Desktop Requirements die klanten een alternatieve open-source-optie biedt. Een configuratie-ISO maken voor de HDS-hosts en De knooppuntconfiguratie wijzigen met instructies voor het gebruik van Podman Desktop voor klanten zonder een Docker-desktoplicentie.
30 januari, 2025	SQL-serverversie 2022 toegevoegd aan de lijst met ondersteunde SQL-servers in Vereisten databaseserver.
15 januari, 2025	Beperkingen van hybride databeveiliging voor meerdere tenants toegevoegd.
08 januari, 2025	Een opmerking toegevoegd in Voer de eerste installatie uit en download installatiebestanden waarin staat dat het klikken op Instellen op de HDS-kaart in Partnerhub een belangrijke stap is in het installatieproces.
07 januari, 2025	Vereisten virtuele host, Implementatietaakstroom hybride databeveiliging en Installeer de HDS-host-OVA om de nieuwe vereiste van ESXi weer te geven 7.0.
13 december, 2024	Eerst gepubliceerd.

Hybride databeveiliging met meerdere tenants deactiveren

Taakstroom uitschakeling multi-tenant HDS

Volg deze stappen om Multi-Tenant HDS volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige beheerder van de partner.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenant organisaties verwijderen.
2	De CMK’s van alle klanten intrekken, zoals vermeld in CMK's van huurders die uit HDS zijn verwijderd intrekken..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Verwijder een knooppunt.
4	Verwijder al uw clusters van Partner Hub met behulp van een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Delete this Cluster rechts bovenaan de overzichtspagina. Klik op de pagina Resources op aan de rechterkant van een cluster en selecteer Remove Cluster.
5	Klik op de Settings tabblad op de overzichtspagina Hybrid Data Security en klik op Deactivate HDS op de HDS-statuskaart.

Veelgestelde vragen

V: Zijn de CMK's en de master key opgeslagen in de ISO of de database?

A: De hoofdsleutels van de klant (CMK's) worden opgeslagen in de database en worden versleuteld met de hoofdsleutel, die wordt opgeslagen in de ISO.

V: Wordt één sleutel gebruikt om alle gegevens van klantenorganisaties te versleutelen?

A: Nee. De gegevens van elke klantorganisatie worden versleuteld met een eigen CMK (Customer Main Key).

V: Wat gebeurt er als ik HDS uitschakel vanuit Partner Hub?

A: Sommige activiteiten, zoals het creëren van een ruimte en het plannen van vergaderingen, zullen onmiddellijk worden beïnvloed. Bestaande inhoud in ruimten zal toegankelijk zijn totdat de lokale cache verloopt. Na 24 uren schakelen gebruikers die door de partner worden beheerd over naar Cloud KMS en kunnen er problemen ontstaan met eerder gecreëerde ruimten en één-op-één ruimten.

V: Zodra de CMK is gegenereerd voor een klantorganisatie via de HDS Setup-tool, beginnen gebruikers van de klantorganisatie onmiddellijk gebruik te maken van Multi-Tenant HDS?

A: Er kan een maximale vertraging van 24 uren zijn voor het vernieuwen van de cloud cache.

V: Waarom zie ik geen lijst met klanten wanneer ik op de knop "Klanten toevoegen" in Partner Hub klik?

A: Dit betekent meestal dat er geen klantenorganisaties zijn die voldoen aan de Cisco Webex-licentievereisten.

V: Wat is de impact als alle HDS-knooppunten worden uitgeschakeld of als een netwerkprobleem alle HDS-knooppunten beïnvloedt?

A: Activiteiten zoals het creëren van ruimtes en het plannen van vergaderingen worden onmiddellijk beïnvloed. Bestaande inhoud is alleen toegankelijk totdat de lokale cache verloopt.

V: Worden de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel die wordt gegenereerd tijdens het aanmaken van ISO?

A: Ja. Momenteel worden de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel. In de toekomst zullen partnerorganisaties partner-specifieke sleutels hebben, vergelijkbaar met klant CMK's.

V: Kunnen de partnerorganisatie en de huurdersorganisaties zich in verschillende regio's bevinden (bijvoorbeeld de VS en de EU)?

A: Ja. Partner- en huurdersorganisaties kunnen zich in verschillende geografische regio's bevinden.

V: Is er een mechanisme om sleutels terug te verplaatsen naar Cloud KMS?

A: Er is geen mechanisme om sleutels terug te verplaatsen naar de Cloud na een HDS-implementatie.

V: Kan een partner Cloud KMS blijven gebruiken en Multi-Tenant HDS uitsluitend gebruiken om klanten te beheren?

A: Nee, dit wordt momenteel niet ondersteund. Ondersteuning voor deze functionaliteit is gepland voor de toekomst.

V: Hoe kan een partner verifiëren dat zijn organisatie Multi-Tenant HDS gebruikt voor encryptie?

A: Log in op Partner Hub. Ga naar Services > Hybrid Data Security > Settings . Als de HDS-status is geactiveerd, gebruiken zowel gebruikers van de partnerorganisatie als toegewezen klanten Multi-Tenant HDS.

Als alternatief kunt u uw syslogs controleren om te controleren of HDS is geactiveerd. Zie Test uw hybride implementatie van gegevensbeveiliging.

V: Is er een alternatief voor Docker Desktop voor het uitvoeren van de HDS Setup tool?

A: Ja. Pod man Desktop is een open-source alternatief voor Docker Desktop. Zie HDS-installatieprogramma uitvoeren met behulp van Podman Desktop.

V: Hoeveel nodes kan ik implementeren in een Multi-Tenant HDS-cluster?

A. We raden minimaal twee knooppunten en maximaal 1000 aan.

V: Wat zijn de netwerkvereisten die nodig zijn om Multi-Tenant HDS in te stellen?

A: Zie Externe connectiviteitsvereisten.

V: Is Pro Pack voor Control Hub een vereiste voor partnerorganisaties?

A: Nee. Pro Pack is geen vereiste voor partnerorganisaties. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij het opzetten van Multi-Tenant HDS.

V: Wordt HSM ondersteund in Multi-tenant HDS?

A: Nee, momenteel ondersteunt Multi-Tenant HDS HSM niet.

V: Kan ik Multi-Tenant HDS testen met een zelfondertekend certificaat?

A: Nee. Voor HDS met meerdere huurders is een certificaat vereist dat wordt opgehaald van een vertrouwde CA en dat voldoet aan alle vereisten vermeld in X.509 Certificaatvereisten.

V: Is het monteren van de ISO nodig telkens wanneer een nieuwe klant wordt toegevoegd in Partner Hub?

A: Nee. De ISO hoeft alleen te worden gemonteerd bij het wijzigen van ISO-configuraties. Wanneer u een nieuwe klant toevoegt op Partner Hub, zorg er dan voor dat u CMK's kunt maken met de HDS Setup Tool. Zie Maak Customer Main Keys (CMK's) met behulp van de HDS Setup tool.

V: Nadat Multi-Tenant HDS is geïmplementeerd op Partner Hub, beginnen gebruikers van de partnerorganisatie KMS op locatie te gebruiken voor sleutelbeheer?

A: Gebruikers zullen KMS op locatie voor sleutelbeheer pas gebruiken nadat HDS is geactiveerd in Partner Hub.

Aan de slag met hybride databeveiliging voor meerdere tenants

Overzicht beveiliging hybride gegevens met meerdere huurders

Vanaf de eerste dag is databeveiliging de belangrijkste focus geweest bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end content encryptie, mogelijk gemaakt door Webex App-clients die interageren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle Webex-app-klanten end-to-end-encryptie met dynamische sleutels die zijn opgeslagen in de cloud-KMS, in het beveiligingsdomein van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Multi-Tenant Hybrid Data Security stelt organisaties in staat om gebruik te maken van HDS via een vertrouwde lokale partner, die kan optreden als dienstverlener en ter plaatse encryptie en andere beveiligingsdiensten kan beheren. Deze instelling stelt de partnerorganisatie in staat om volledige controle te hebben over de implementatie en het beheer van encryptiesleutels en zorgt ervoor dat gebruikersgegevens van klantorganisaties veilig zijn voor externe toegang. Partnerorganisaties zetten HDS-instanties op en creëren HDS-clusters indien nodig. Elke instantie kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties controle hebben over de implementatie en het beheer, hebben ze geen toegang tot gegevens en inhoud die door klanten worden gegenereerd. Deze toegang is beperkt tot klantenorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook gebruik maken van HDS, omdat Key management service en beveiligingsinfrastructuur zoals datacenters eigendom zijn van de vertrouwde lokale partner.

Hoe Multi-Tenant Hybrid Data Security zorgt voor gegevenssoevereiniteit en gegevenscontrole

Door gebruikers gegenereerde inhoud wordt beschermd tegen externe toegang, zoals cloudserviceproviders.
Lokale vertrouwde partners beheren de encryptiesleutels van klanten met wie ze al een gevestigde relatie hebben.
Mogelijkheid voor lokale technische ondersteuning, indien voorzien door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en bellen.

Dit document is bedoeld om partnerorganisaties te helpen bij het opzetten en beheren van klanten onder een Multi-Tenant Hybrid Data Security systeem.

Beperkingen van de beveiliging van hybride gegevens met meerdere huurders

Partnerorganisaties mogen geen bestaande HDS-implementatie actief hebben in Control Hub.
Organisaties van huurders of klanten die door een partner willen worden beheerd, mogen geen bestaande HDS-implementatie hebben in Control Hub.
Zodra Multi-Tenant HDS is geïmplementeerd door de partner, beginnen alle gebruikers van klantenorganisaties en gebruikers van de partnerorganisatie gebruik te maken van Multi-Tenant HDS voor hun encryptiediensten.

De partnerorganisatie en klantenorganisaties die zij beheren zullen op dezelfde Multi-Tenant HDS-implementatie staan.

De partnerorganisatie zal geen cloud-KMS meer gebruiken nadat Multi-Tenant HDS is geïmplementeerd.
Er is geen mechanisme om sleutels terug te verplaatsen naar Cloud KMS na een HDS-implementatie.
Beheerdersrollen hebben bepaalde beperkingen; zie de sectie hieronder voor meer informatie.

Functies in Multitenant Hybrid Data Security

Partner full Administrator - Kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die door partnerbeheerders moeten worden beheerd.
Partnerbeheerder - Kan instellingen beheren voor klanten die door de beheerder zijn voorzien of die aan de gebruiker zijn toegewezen.
Volledige beheerder - Beheerder van de partnerorganisatie die gemachtigd is om taken uit te voeren zoals het wijzigen van de instellingen van de organisatie, het beheren van licenties en het toewijzen van rollen.

End-to-end Multi-Tenant HDS instellen en beheren van alle klantenorganisaties - Volledige beheerder van de partner en Volledige beheerdersrechten vereist.
Beheer van toegewezen huurdersorganisaties - Partnerbeheerder en Volledige beheerdersrechten vereist.

Architectuur van het veiligheidsdomein

De Webex-cloudarchitectuur scheidt verschillende soorten diensten in afzonderlijke domeinen, of vertrouwensdomeinen, zoals hieronder afgebeeld.

***Domeinen van scheiding (zonder hybride gegevensbeveiliging)***

Om meer inzicht te krijgen in Hybrid Data Security, laten we eerst eens kijken naar deze pure cloud case, waarin Cisco alle functies in zijn cloud realms levert. De identiteitsdienst, de enige plaats waar gebruikers rechtstreeks kunnen worden gecorreleerd met hun persoonlijke informatie, zoals e-mailadres, is logisch en fysiek gescheiden van het beveiligingsdomein in datacenter B. Beide zijn op hun beurt gescheiden van het domein waar versleutelde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker draait en zich heeft aangemeld bij de identiteitsdienst. Wanneer de gebruiker een bericht opstelt om naar een spatie te verzenden, vinden de volgende stappen plaats:

De client maakt een beveiligde verbinding met de sleutelbeheerdienst (KMS) en vraagt vervolgens een sleutel om het bericht te versleutelen. De beveiligde verbinding maakt gebruik van ECDH, en de KMS versleutelt de sleutel met behulp van een AES-master256 sleutel.
Het bericht wordt versleuteld voordat het de client verlaat. De client stuurt het naar de indexeringsdienst, die versleutelde zoekindexen creëert om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het versleutelde bericht wordt naar de compliancedienst gestuurd voor nalevingscontroles.
Het versleutelde bericht wordt opgeslagen in het opslaggebied.

Wanneer u Hybrid Data Security implementeert, verplaatst u de functies van het beveiligingsdomein (KMS, indexering en naleving) naar uw eigen datacenter. De andere cloudservices die deel uitmaken van Webex (inclusief identiteits- en inhoudsopslag) blijven in de domeinen van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen regelmatig Webex App gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel vraagt voor een ruimte die eigendom is van uw organisatie (omdat deze is gemaakt door een van uw gebruikers) stuurt uw KMS de sleutel naar de klant via een ECDH beveiligd kanaal. Wanneer een andere organisatie echter de sleutel voor de ruimte bezit, stuurt uw KMS het verzoek naar de Webex-cloud via een apart ECDH-kanaal om de sleutel van de juiste KMS te krijgen, en stuurt de sleutel vervolgens terug naar uw gebruiker op het originele kanaal.

De KMS-service die op Org A draait, valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI certificaten. Zie Prepare your Environment voor meer informatie over het genereren van een x.509-certificaat voor gebruik met uw Multi-Tenant Hybrid Data Security-implementatie.

Verwachtingen voor het inzetten van hybride gegevensbeveiliging

Een Hybrid Data Security implementatie vereist een aanzienlijke inzet en een bewustzijn van de risico's die gepaard gaan met het bezitten van encryptiesleutels.

Om Hybrid Data Security in te zetten, moet u het volgende verstrekken:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams plannen.
De apparatuur, software en netwerktoegang beschreven in Prepare your Environment.

Volledig verlies van ofwel de configuratie-ISO die u bouwt voor Hybrid Data Security of de database die u verstrekt, zal resulteren in het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere versleutelde gegevens in Webex App decoderen. Als dit gebeurt, kunt u een nieuwe implementatie bouwen, maar alleen nieuwe inhoud zal zichtbaar zijn. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en herstel van de database en de configuratie ISO.
Wees bereid om snel disaster recovery uit te voeren als er zich een ramp voordoet, zoals een storing in de databaseversie of een ramp in het datacenter.

Er is geen mechanisme om sleutels terug te verplaatsen naar de Cloud na een HDS-implementatie.

High-level Setup proces

Dit document behandelt de opzet en het beheer van een implementatie van Multi-Tenant Hybrid Data Security:

Hybride gegevensbeveiliging instellen—Dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van hybride gegevensbeveiligingssoftware, het bouwen van een HDS-cluster, het toevoegen van huurdersorganisaties aan het cluster en het beheren van hun Customer Main Keys (CMK’s). Dit stelt alle gebruikers van uw klantorganisaties in staat om uw Hybrid Data Security cluster te gebruiken voor beveiligingsfuncties.

De installatie-, activering- en beheerfasen worden in detail besproken in de volgende drie hoofdstukken.
Uw implementatie van hybride gegevensbeveiliging handhaven—De Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan ondersteuning bieden voor deze implementatie en indien nodig Cisco-ondersteuning inschakelen. U kunt meldingen op het scherm gebruiken en e-mailmeldingen instellen in Partner Hub.
Begrijp veelvoorkomende waarschuwingen, stappen voor probleemoplossing en bekende problemen—Als u problemen ondervindt met het implementeren of gebruiken van Hybride Gegevensbeveiliging, kan het laatste hoofdstuk van deze gids en de bijlage Bekende problemen u helpen het probleem te bepalen en op te lossen.

Hybride implementatiemodel voor gegevensbeveiliging

Binnen uw bedrijfsdatacenter implementeert u Hybrid Data Security als een enkele cluster van knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces voorzien wij u van het OVA-bestand om het virtuele toestel op te zetten op de door u geleverde VM’s. U gebruikt de HDS Setup Tool om een aangepaste clusterconfiguratie ISO-bestand te maken dat u op elk knooppunt aankoppelt. De Hybrid Data Security cluster maakt gebruik van uw Syslogd-server en PostgreSQL of Microsoft SQL Server-database. (U configureert de Syslogd- en database-verbindingsdetails in de HDS Setup Tool.)

Hybride implementatiemodel voor gegevensbeveiliging

Het minimum aantal knooppunten dat je in een cluster kunt hebben is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere nodes zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteit op een node. (De Webex-cloud verbetert slechts één knooppunt per keer.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke datastore en loggen activiteit op dezelfde syslog-server. De knooppunten zelf zijn staatloos en behandelen belangrijke verzoeken in een round-robin-modus, zoals aangegeven door de cloud.

Nodes worden actief wanneer je ze registreert in Partner Hub. Om een individueel knooppunt uit dienst te nemen, kunt u het uitschrijven en later opnieuw registreren indien nodig.

Stand-by datacenter voor rampenherstel

Tijdens de implementatie richt je een beveiligd standby datacenter op. In het geval van een datacenterramp, kunt u uw implementatie handmatig laten mislukken naar het standby datacenter.

Before failover, Data Center A has active HDS nodes and the primary PostgreSQL or Microsoft SQL Server database, while B has a copy of the ISO file with additional configurations, VMs that are registered to the organization, and a standby database. After failover, Data Center B has active HDS nodes and the primary database, while A has unregistered VMs and a copy of the ISO file, and the database is in standby mode. — ***Handmatig failover naar standby-datacenter***

De databases van de actieve en standby datacenters zijn synchroon met elkaar, wat de tijd die nodig is om de failover uit te voeren zal minimaliseren.

De actieve Hybrid Data Security nodes moeten altijd in hetzelfde datacenter staan als de actieve databaseserver.

Stand-by datacenter instellen voor disaster recovery

Volg de onderstaande stappen om het ISO-bestand van het standby datacenter te configureren:

Voordat u begint

Het standby datacenter moet de productieomgeving van VM's en een back-up PostgreSQL of Microsoft SQL Server database weerspiegelen. Als de productie bijvoorbeeld VM's heeft 3 die HDS-nodes draaien, moet de back-upomgeving 3 VM's hebben. (Zie Stand-by datacenter voor rampenherstelvoor een overzicht van dit failover model.)
Zorg ervoor dat database sync is ingeschakeld tussen de database van actieve en passieve clusterknooppunten.

1	Start de HDS Setup tool en volg de stappen vermeld in Een configuratie-ISO aanmaken voor de HDS-hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden gemaakt.
2	Klik na het configureren van de Syslogd-server op Advanced Settings
3	Selecteer in het deelvenster Advanced Settings pagina, voeg de configuratie hieronder toe om het knooppunt in passieve modus te plaatsen. In deze modus wordt het knooppunt geregistreerd bij de organisatie en verbonden met de cloud, maar zal geen verkeer verwerken. `passiveMode: 'true'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk te vinden locatie.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Houd de reservekopie veilig. Dit bestand bevat een hoofdsleutel voor versleuteling voor de inhoud van de database. Beperk de toegang tot alleen die beheerders van hybride gegevensbeveiliging die configuratiewijzigingen moeten aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Edit Settings..
7	Klik op Edit Settings >CD/DVD Drive 1 en selecteer Datastore ISO File. Zorg ervoor Connected en Connect at power on worden gecontroleerd zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het starten van de knooppunten.
8	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
9	Herhaal het proces voor elke node in het standby datacenter. Controleer de syslogs om te controleren of de knooppunten in de passieve modus staan. U moet in staat zijn om het bericht “KMS configured in passive mode” in de syslogs te bekijken.

De volgende stappen

Na configuratie passiveMode in het ISO-bestand en het opslaan ervan, kunt u een andere kopie van het ISO-bestand maken zonder de passiveMode configuratie en bewaar het op een veilige locatie. Deze kopie van het ISO-bestand zonder passiveMode geconfigureerd kan helpen bij een snel failover proces tijdens disaster recovery. Zie Disaster Recovery met behulp van Standby Data Centervoor de gedetailleerde failover-procedure.

Proxy-ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheerdersinterface gebruiken in de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy hebt ingesteld op de knooppunten.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy—De standaard als u de configuratie van de HDS-node Trust Store & Proxy niet gebruikt om een proxy te integreren. Er is geen certificaat update vereist.
Transparante niet-inspecterende proxy—De knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken en hoeven geen wijzigingen te vereisen om met een niet-inspecterende proxy te werken. Er is geen certificaat update vereist.
Transparent tunneling or inspecting proxy—De knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy—Met expliciete proxy vertelt u de HDS-nodes welke proxyserver en authenticatieschema ze moeten gebruiken. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy IP/FQDN—Adres dat kan worden gebruikt om de proxymachine te bereiken.
2. Proxy Port—Een poortnummer dat de proxy gebruikt om te luisteren naar geïmpliceerd verkeer.
3. Proxyprotocol—Afhankelijk van wat uw proxyserver ondersteunt, kiest u tussen de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Authenticatietype—Kies uit de volgende authenticatietypes:
  - Geen—Er is geen verdere authenticatie vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis—Gebruikt voor een HTTP-gebruikersagent om een gebruikersnaam en wachtwoord op te geven bij het indienen van een aanvraag. Gebruikt basiscodering64 .
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Digest—Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Diagram showing an example connection between the Hybrid Data Security, network and a proxy.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride databeveiliging met meerdere tenants

Cisco Webex-licentievereisten

Hybride databeveiliging met meerdere tenants implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de functie voor meerdere tenants is ingeschakeld.
Tenantorganisaties: U moet het Pro-pakket voor Cisco Webex Control Hub hebben. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-knooppunten installeert, moet u Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie voor meer informatie het blogbericht van Docker: 'Docker werkt onze productabonnementen bij en verlengt deze'.

Klanten zonder een Docker Desktop-licentie kunnen een open-source container management tool zoals Podman Desktop gebruiken om containers uit te voeren, te beheren en te maken. Raadpleeg HDS-setuptool uitvoeren via Podman Desktop voor meer informatie.

X.509 Certificaatvereisten

De certificaatketen moet aan de volgende vereisten voldoen:

Table 1. X.509 Certificate Requirements for Hybrid Data Security Deployment
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA)	We vertrouwen de CA's in de lijst Mozilla (met uitzondering van WoSign en StartCom) standaard om https://wiki.mozilla.org/CA:IncludedCA's.
Draagt een CN-domeinnaam (Common Name) die uw implementatie voor hybride databeveiliging identificeert Is geen wildcardcertificaat	De algemene naam hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die overeenkomt met uw organisatie, bijvoorbeeld: `hds.company.com`. De algemene naam mag geen * (jokerteken) bevatten. De algemene naam wordt gebruikt om de knooppunten voor hybride databeveiliging te verifiëren naar Webex-app-clients. Alle knooppunten voor hybride databeveiliging in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met het CN-domein, niet elk domein dat is gedefinieerd in de x.509v3 SAN-velden. Wanneer u een knooppunt met dit certificaat hebt geregistreerd, bieden we geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Geformatteerd als een met een wachtwoord beveiligd PKCS #12-bestand Gebruik de beschrijvende naam van `kms-private-key` om het certificaat, de privésleutel en eventuele aanvullende certificaten te taggen die moeten worden geüpload.	U kunt een conversieprogramma zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS-setuptool uitvoert.
Ondersteund algoritme	Alleen RSA-certificaten worden ondersteund.

De KMS-software dwingt geen beperkingen op het sleutelgebruik of het uitgebreide sleutelgebruik af. Sommige certificeringsinstanties vereisen dat uitgebreide gebruiksbeperkingen voor elk certificaat worden toegepast, zoals serververificatie. Het is oké om de serververificatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als knooppunten voor hybride databeveiliging in uw cluster instelt, hebben de volgende vereisten:

Ten minste twee afzonderlijke hosts (3 aanbevolen) bevinden zich samen in hetzelfde beveiligde datacenter
VMware ESXi 7.0 of 8.0 geïnstalleerd en uitgevoerd.

Als u een eerdere versie van ESXi hebt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB aan lokale harde schijfruimte per server

Vereisten voor databaseserver

Maak een nieuwe database voor sleutelopslag. Gebruik de standaarddatabase niet. De HDS-toepassingen maken na installatie het databaseschema.

Er zijn twee opties voor databaseserver. De vereisten voor elk ervan zijn als volgt:

Table 2. Database server requirements by type of database
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 of 18, geïnstalleerd en uitgevoerd.	SQL-server 2016, 2017, 2019 of 2022 (Enterprise of Standaard) geïnstalleerd. SQL-server 2016 vereist servicepack 2 en cumulatieve update 2 of hoger.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL	Microsoft SQL Server
Postgres JDBC-stuurprogramma 42.2.5	SQL Server JDBC-stuurprogramma 4.6 Deze stuurprogrammaversie ondersteunt SQL Server Always On ( Always On Failover Cluster Instances en Always On beschikbaarheidsgroepen).

PostgreSQL

Microsoft SQL Server

Postgres JDBC-stuurprogramma 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze stuurprogrammaversie ondersteunt SQL Server Always On ( Always On Failover Cluster Instances en Always On beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-verificatie met Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-verificatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, de Active Directory-infrastructuur en MS SQL Server moeten allemaal worden gesynchroniseerd met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees- en schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het exemplaar van de HDS-database op uw Microsoft SQL-server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een servicehoofdnaam registreren voor Kerberos-verbindingen.

De HDS-setuptool, HDS-launcher en lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de details uit uw ISO-configuratie om de SPN te maken wanneer ze toegang aanvragen met Kerberos-verificatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit voor de HDS-toepassingen toe te staan:

Toepassing	Protocol	Poort	Richting vanuit app	Bestemming
Knooppunten voor hybride databeveiliging	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die voor hybride databeveiliging worden vermeld in de Aanvullende URL's voor hybride Webex-services tabel van Netwerkvereisten voor Webex-services
HDS-setuptool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De knooppunten voor hybride databeveiliging werken met NAT (Network Access Translation) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen met de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die inkomend naar de knooppunten voor hybride databeveiliging gaan, mogen er geen poorten zichtbaar zijn vanaf internet. In uw datacenter hebben clients toegang nodig tot de knooppunten voor hybride databeveiliging op TCP-poorten 443 en 22 voor administratieve doeleinden.

De URL's voor de Common Identity-hosts (CI) zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	URL's van host van algemene identiteit
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren. Zie Squid-proxy's configureren voor hybride databeveiliging om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 via de proxy te laten routeren.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, wordt het (niet inspecteren) verkeer overbrugd naar wbx2.com en ciscospark.com zal het probleem oplossen.

Voldoen aan de vereisten voor hybride databeveiliging

Gebruik deze controlelijst om ervoor te zorgen dat u klaar bent om uw cluster voor hybride databeveiliging te installeren en te configureren.

1	Zorg ervoor dat HDS niet is ingeschakeld in Control Hub voor uw organisatie en haal de referenties op van een account met volledige partnerbeheerders en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor het Pro-pakket voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen die een X.509-certificaat, privésleutel en eventuele tussenliggende certificaten bevat. De certificaatketen moet voldoen aan de vereisten in X.509 Certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u instelt als knooppunten voor hybride databeveiliging in uw cluster. U hebt minimaal twee afzonderlijke hosts (3 aanbevolen) nodig die samen in hetzelfde beveiligde datacenter zijn gevestigd, die voldoen aan de vereisten in Vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die fungeert als de belangrijkste gegevensopslag voor het cluster, volgens de vereisten voor de databaseserver. De databaseserver moet in het beveiligde datacenter samen met de virtuele hosts worden geplaatst. Maak een database voor sleutelopslag. (U moet deze database maken. Gebruik niet de standaarddatabase. De HDS-toepassingen maken na installatie het databaseschema.) Verzamel de details die de knooppunten gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor snel noodherstel stelt u een back-upomgeving in een ander datacenter in. De back-upomgeving weerspiegelt de productieomgeving van VM's en een back-updatabaseserver. Als de productie bijvoorbeeld 3 VM's heeft waarop HDS-knooppunten worden uitgevoerd, moet de back-upomgeving 3 VM's hebben.
6	Stel een syslog-host in om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Maak een beveiligd back-upbeleid voor de knooppunten voor hybride databeveiliging, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de knooppunten voor hybride databeveiliging. Omdat de knooppunten voor hybride databeveiliging de sleutels opslaan die voor het coderen en decoderen van inhoud worden gebruikt, leidt het niet onderhouden van een operationele implementatie tot ONHERSTELBAAR VERLIES van die inhoud. Webex-app-clients slaan hun sleutels in het cachegeheugen, dus een storing is mogelijk niet direct merkbaar, maar wordt na verloop van tijd duidelijk. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Een volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-configuratiebestand zal echter resulteren in onherstelbare klantgegevens. Van de operatoren van de knooppunten voor hybride databeveiliging wordt verwacht dat ze frequente back-ups van de database en het ISO-configuratiebestand bijhouden en dat ze voorbereid zijn om het datacenter voor hybride databeveiliging opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit voor uw knooppunten voor hybride databeveiliging mogelijk maakt, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bit, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die er toegang toe kan krijgen op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, waarmee de lokale configuratiegegevens voor alle knooppunten voor hybride databeveiliging worden opgebouwd. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Vereisten voor Docker-bureaublad voor meer informatie. Als u de HDS-setuptool wilt installeren en uitvoeren, moet de verbinding voor de lokale machine zijn beschreven in Externe verbindingsvereisten.
10	Als u een proxy integreert met hybride databeveiliging, moet u ervoor zorgen dat deze voldoet aan de Vereisten proxyserver.

Een cluster voor hybride databeveiliging instellen

Taakstroom implementatie hybride databeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download installatiebestanden Download het OVA-bestand naar uw lokale machine voor later gebruik.
2	Een configuratie-ISO voor de HDS-hosts maken Gebruik de HDS-setuptool om een ISO-configuratiebestand te maken voor de knooppunten voor hybride databeveiliging.
3	De HDS-host-OVA installeren Maak een virtuele machine met het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	VM voor hybride databeveiliging instellen Meld u aan bij de VM-console en stel de aanmeldgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.
5	De ISO van de HDS-configuratie uploaden en koppelen Configureer de VM vanuit het ISO-configuratiebestand dat u hebt gemaakt met de HDS-setuptool.
6	Het HDS-knooppunt voor proxyintegratie configureren Als de netwerkomgeving proxyconfiguratie vereist, geeft u het type proxy op dat u voor het knooppunt wilt gebruiken en voegt u het proxycertificaat indien nodig toe aan de vertrouwensopslag.
7	Het eerste knooppunt in het cluster registreren Registreer de VM bij de Cisco Webex-cloud als knooppunt voor hybride databeveiliging.
8	Meer knooppunten maken en registreren Voltooi de clustersetup.
9	Activeer HDS met meerdere tenants in Partner Hub. Activeer HDS en beheer tenantorganisaties in Partner Hub.

Voer de eerste installatie uit en download installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u instelt als knooppunten voor hybride databeveiliging). U kunt dit bestand later in het installatieproces gebruiken.

1	Meld u aan bij Partnerhub en klik vervolgens op Services.
2	Zoek in het gedeelte Hybride de kaart Hybride databeveiliging en klik vervolgens op Set up. Het klikken op Instellen in Partnerhub is essentieel voor het implementatieproces. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Add a resource en klik op Download .OVA file op de pagina Install and Configure Software kaart. Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades voor hybride databeveiliging. Dit kan leiden tot problemen tijdens het upgraden van de toepassing. Zorg ervoor dat u de meest recente versie van het OVA-bestand downloadt. U kunt de OVA ook op elk moment downloaden van de Help . Klik op Settings > Help > Download Hybrid Data Security software. Het downloaden van het OVA-bestand wordt automatisch gestart. Sla het bestand op een locatie op uw computer op.

Een configuratie-ISO voor de HDS-hosts maken

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige beheerdersrechten vereist.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS-setuptool uit te voeren voor de stappen 1 tot en met 5 in de onderstaande procedure. Raadpleeg HDS-setuptool uitvoeren via Podman Desktop voor meer informatie.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de Docker-omgevingsvariabelen wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy zonder verificatie

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxy met verificatie

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxy met verificatie

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stable

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container actief is, ziet u "Express server listening op poort 8080".

6

De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost te gaan http://127.0.0.1:8080, en voer de gebruikersnaam van de beheerder voor Partnerhub in bij de prompt.

Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.

7

Wanneer u hierom wordt gevraagd, voert u uw aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Log in om toegang tot de vereiste services voor hybride databeveiliging toe te staan.

8

Klik op de overzichtspagina van de setuptool Get Started.

9

Selecteer in het deelvenster ISO Import hebt u de volgende opties:

No—Als u uw eerste HDS-knooppunt maakt, hebt u geen ISO-bestand om te uploaden.
Yes—Als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de blader en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509 Certificaatvereisten.

Als u nog nooit eerder een certificaat hebt geüpload, uploadt u het X.509-certificaat, voert u het wachtwoord in en klikt u op Continue.
Als uw certificaat OK is, klikt u op Continue.
Als uw certificaat is verlopen of u het wilt vervangen, selecteert u No voor Continue using HDS certificate chain and private key from previous ISO?. Upload een nieuw X.509 certificaat, voer het wachtwoord in en klik op Continue.

11

Voer het databaseadres en het account in voor HDS om toegang te krijgen tot uw belangrijke gegevensopslag:

Selecteer uw Database Type (PostgreSQL of Microsoft SQL-server).

Als u Microsoft SQL Server kiest, wordt het veld Verificatietype weergegeven.
(Alleen Microsoft SQL Server) Selecteer uw Authentication Type:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in de Username in.
- Windows-verificatie: U hebt een Windows-account nodig met de indeling username@DOMAIN in het hoofdstuk Username in.
Voer het adres van de databaseserver in het formulier in <hostname>:<port> of <IP-address>:<port>.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

U kunt een IP-adres gebruiken voor basisverificatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de Database Name.
Voer de Username en Password van een gebruiker met alle rechten op de sleutelopslagdatabase.

12

Selecteer een TLS Database Connection Mode:

Mode	Beschrijving
Prefer TLS (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS op de databaseserver inschakelt, proberen de knooppunten een gecodeerde verbinding.
Require TLS	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
Require TLS and verify certificate signer	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificerende instantie in de Database root certificate. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de pijl Database root certificate onder het vervolgkeuzemenu kunt u het hoofdcertificaat voor deze optie uploaden.
Require TLS and verify certificate signer and hostname	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificerende instantie in de Database root certificate. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in de Database host and port in. De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de pijl Database root certificate onder het vervolgkeuzemenu kunt u het hoofdcertificaat voor deze optie uploaden.

Wanneer u het hoofdcertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS-setuptool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege verbindingsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de machine van de HDS-setuptool deze niet kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet door het DNS kan worden omgezet vanaf de knooppunten voor uw HDS-cluster, gebruikt u een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 geeft aan dat u zich aanmeldt bij de Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat deze TLS-codering gebruikt, controleert u Is your server configured for TLS negotiation/handshake?.

Als u dit selectievakje inschakelt, moet u een TCP-URL invoeren zoals tcp://10.92.43.23:514en upload het syslog-basiscertificaat.
Vanuit het scherm Choose syslog record termination kiest u de juiste instelling voor uw ISO-bestand: Kiezen of nieuwe lijn wordt gebruikt voor Graylog en Rsyslog TCP
- Null byte -- \x00
- Newline -- \n: selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Continue.

14

(Optioneel) U kunt de standaardwaarde voor sommige parameters voor databaseverbinding wijzigen in Advanced Settings. Over het algemeen is deze parameter de enige die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxSize: 10

15

Klik op Continue op de pagina Reset Service Accounts Password .

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen of u ze wilt herstellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op Download ISO File. Sla het bestand op een eenvoudig te vinden locatie op.

17

Maak een back-up van het ISO-bestand op uw lokale systeem.

Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.

18

Als u de setuptool wilt afsluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het ISO-configuratiebestand. U hebt deze nodig om meer knooppunten te maken voor herstel of om configuratiewijzigingen aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels te herstellen van uw PostgreSQL- of Microsoft SQL Server-database.

We hebben nooit een kopie van deze sleutel en kunnen niet helpen als u deze verliest.

De HDS-host-OVA installeren

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteren File > Deploy OVF Template.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Next.
4	Op de Select a name and folder , voer een Virtual machine name voor het knooppunt (bijvoorbeeld 'HDS_Node_1'), kiest u een locatie waar de implementatie van het knooppunt van de virtuele machine zich kan bevinden en klikt u vervolgens op Next.
5	Op de Select a compute resource , kies de bestemming berekenen resource en klik vervolgens op Next. Er wordt een validatiecontrole uitgevoerd. Nadat het is voltooid, worden de sjabloongegevens weergegeven.
6	Verifieer de sjabloongegevens en klik vervolgens op Next.
7	Als u wordt gevraagd om de resourceneconfiguratie te kiezen op de Configuration klikt u op 4 CPU en klik vervolgens op Next.
8	Op de Select storage klikt u op Next om het standaardbeleid voor schijfindeling en VM-opslag te accepteren.
9	Op de Select networks kiest u de netwerkoptie in de lijst met vermeldingen om de gewenste verbinding met de VM te bieden.
10	Selecteer in het deelvenster Customize template configureert u de volgende netwerkinstellingen: Hostnaam: voer de FQDN (hostnaam en domein) of één woord hostnaam voor het knooppunt in. U hoeft het domein niet zo in te stellen dat het overeenkomt met het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Gebruik alleen kleine letters in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld om een succesvolle registratie bij de cloud te garanderen. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet meer dan 64 tekens zijn. IP-adres: voer het IP-adres in voor de interne interface van het knooppunt. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund. Masker: voer het adres van het subnetmasker in puntdecimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway: voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dienst doet als een toegangspunt naar een ander netwerk. DNS-servers: voer een door komma's gescheiden lijst van DNS-servers in die domeinnamen vertalen naar numerieke IP-adressen. (Er zijn maximaal 4 DNS-vermeldingen toegestaan.) NTP-servers: voer de NTP-server van uw organisatie of een andere externe NTP-server in die voor uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster voor administratieve doeleinden bereikbaar zijn vanaf clients in uw netwerk. Indien gewenst kunt u de configuratie van de netwerkinstelling overslaan en de stappen volgen in De VM voor hybride databeveiliging instellen om de instellingen te configureren vanuit de knooppuntconsole. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op het knooppunt VM en kies vervolgens Power > Power On. De software voor hybride databeveiliging wordt als gast geïnstalleerd op de VM-host. U bent nu klaar om u aan te melden bij de console en het knooppunt te configureren. Tips voor probleemoplossing U kunt een vertraging van enkele minuten ervaren voordat de knooppuntcontainers omhoog komen. Tijdens de eerste keer opstarten verschijnt een bridge-firewallbericht op de console, waarbij u zich niet kunt aanmelden.

VM voor hybride databeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het knooppunt voor hybride databeveiliging en om de aanmeldgegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.

1	Selecteer in de VMware vSphere-client de VM van uw knooppunt voor hybride databeveiliging en selecteer de Console Virtuele vergaderingen. De VM wordt opgestart en er wordt een aanmeldprompt weergegeven. Als de aanmeldingsprompt niet wordt weergegeven, drukt u op Enter.
2	Gebruik de volgende standaardaanmeldgegevens en -wachtwoorden om u aan te melden en de aanmeldgegevens te wijzigen: Aanmelden: `admin` Wachtwoord: `ciscosystems` Aangezien u zich voor de eerste keer bij uw VM aanmeldt, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in Installeer de HDS-host-OVA, slaat u de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Edit Configuration optie.
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig indien nodig de hostnaam, het domein of de NTP-server(s) om overeen te stemmen met uw netwerkbeleid. U hoeft het domein niet zo in te stellen dat het overeenkomt met het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen worden doorgevoerd.

De ISO van de HDS-configuratie uploaden en koppelen

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u hebt gemaakt met de HDS-setuptool.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op een 'need to know'-basis, voor toegang door de VM's van hybride databeveiliging en alle beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen deze beheerders toegang hebben tot de gegevensopslag.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkerdeelvenster van de VMware vSphere-client op de ESXi-server.
Klik op de lijst Hardware van het tabblad Configuratie op Storage.
Klik in de lijst Gegevensopslag met de rechtermuisknop op de gegevensopslag voor uw VM's en klik op Browse Datastore.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Upload File.
Blader naar de locatie waar u het ISO-bestand op uw computer hebt gedownload en klik op Open.
Klik op Yes om de waarschuwing voor het uploaden/downloaden te accepteren en het dialoogvenster Gegevensopslag te sluiten.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Edit Settings.
Klik op OK om de waarschuwing voor beperkte bewerkingsopties te accepteren.
Klik op CD/DVD Drive 1, selecteer de optie om te koppelen vanuit een ISO-bestand van de gegevensopslag en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Controleren Connected en Connect at power on.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

De volgende stappen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand loskoppelen nadat al uw knooppunten de configuratiewijzigingen hebben opgehaald. Zie (optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxyopties.
Vereisten proxyserver

1	Voer de installatie-URL van het HDS-knooppunt in `https://[HDS Node IP or FQDN]/setup` voer in een webbrowser de beheerdersgegevens in die u voor het knooppunt hebt ingesteld en klik vervolgens op Sign In.
2	Ga naar Trust Store & Proxyen kies een optie: Geen proxy: de standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparant proxy zonder inspectie: knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres en hoeven geen wijzigingen te vereisen om te werken met een proxy zonder inspectie. Er is geen certificaat update vereist. Transparent Inspecting Proxy: knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy: met expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt en deze optie ondersteunt verschillende verificatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy-IP/FQDN: adres dat kan worden gebruikt om de proxycomputer te bereiken. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxied-verkeer. Proxyprotocol: kies http (geeft alle aanvragen weer en beheert deze die zijn ontvangen van de client) of https (biedt een kanaal naar de server en de client ontvangt en valideert het servercertificaat). Kies een optie op basis van wat uw proxyserver ondersteunt. Verificatietype: kies uit de volgende verificatietypen: Geen—Er is geen verdere verificatie vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt Base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op Upload a Root Certificate or End Entity Certificateen navigeert u naar het basiscertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijl van de chevron bij de naam van de certificaatuitgever voor meer informatie of klik op Delete als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op Check Proxy Connection om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, voert u deze stappen uit en ziet u Geblokkeerde externe DNS-resolutiemodus uitschakelen.
5	Als de verbindingstest is geslaagd, als de expliciete proxy alleen is ingesteld op https, schakelt u de schakelaar in op Route all port 443/444 https requests from this node through the explicit proxy. Het duurt 15 seconden voordat deze instelling van kracht wordt.
6	Klik op Install All Certificates Into the Trust Store (wordt weergegeven voor een HTTPS expliciete proxy of een transparante controlerende proxy) of Reboot (verschijnt voor een HTTP expliciete proxy), lees de prompt en klik vervolgens op Install als u er klaar voor bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich indien nodig opnieuw aan en opent u vervolgens de Overview om de verbindingscontroles te controleren om ervoor te zorgen dat ze allemaal de status groen hebben. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Het eerste knooppunt in het cluster registreren

Bij deze taak wordt het algemene knooppunt gebruikt dat u hebt gemaakt in De VM voor hybride databeveiliging instellen, wordt het knooppunt geregistreerd bij de Webex-cloud en wordt er een knooppunt voor hybride databeveiliging van gemaakt.

Wanneer u uw eerste knooppunt registreert, maakt u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn geïmplementeerd voor redundantie.

Voordat u begint

Zodra u met de registratie van een knooppunt begint, moet u het binnen 60 minuten voltooien, anders moet u opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	Zoek in het gedeelte Hybride databeveiliging kaart en klik op Set up.
4	Klik op de pagina die wordt geopend Add a resource.
5	In het eerste veld van Create a new cluster een naam in voor het cluster waaraan u uw knooppunt voor hybride databeveiliging wilt toewijzen. We raden u aan een cluster een naam te geven op basis van de plaats waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: 'San Francisco', 'New York' of 'Dallas'
6	Voer in het tweede veld het interne IP-adres of de volledige domeinnaam (FQDN) van uw knooppunt in en klik op Add onderaan het scherm. Dit IP-adres of de FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in Stel de VM voor hybride databeveiliging in. Er wordt een bericht weergegeven dat aangeeft dat u uw knooppunt kunt registreren bij de Webex.
7	Klik op Go to Node. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw Webex-organisatie voor toegang tot uw knooppunt.
8	Controleer de Allow Access to Your Hybrid Data Security Node selectievakje en klik vervolgens op Continue. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud.
9	Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Selecteer in het deelvenster Hybrid Data Security , wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder de Resources Virtuele vergaderingen. Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten maken en registreren

Om extra knooppunten aan uw cluster toe te voegen, maakt u extra VM's en koppelt u hetzelfde ISO-configuratiebestand. Vervolgens registreert u het knooppunt. We raden u aan ten minste 3 knooppunten te hebben.

Voordat u begint

Zodra u met de registratie van een knooppunt begint, moet u het binnen 60 minuten voltooien, anders moet u opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine vanaf de OVA, en herhaal de stappen in Installeer de HDS-host-OVA.
2	Stel de eerste configuratie in op de nieuwe VM en herhaal de stappen in De VM voor hybride databeveiliging instellen.
3	Herhaal op de nieuwe VM de stappen in Upload en koppel de HDS-configuratie-ISO.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Het HDS-knooppunt configureren voor de proxyintegratie zoals nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. Selecteer in https://admin.webex.com Services in het menu links op het scherm. Zoek in het gedeelte Hybride databeveiliging de kaart en klik op View all. De pagina Resources hybride databeveiliging wordt weergegeven. Het nieuwe cluster wordt weergegeven in het deelvenster Resources . Klik op het cluster om de knooppunten weer te geven die aan het cluster zijn toegewezen. Klik op Add a node aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam van uw knooppunt in en klik op Add. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw knooppunt kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw organisatie voor toegang tot uw knooppunt. Controleer de Allow Access to Your Hybrid Data Security Node selectievakje en klik vervolgens op Continue. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud. Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Node added pop-upbericht verschijnt ook onder aan het scherm in Partnerhub. Uw knooppunt is geregistreerd.

De volgende stappen

Meld u aan bij Partnerhub om aanvullende clusters te maken en klik op Services > Hybrid Data Security > View all > Add a cluster. Volg de stappen die in het bovenstaande gedeelte worden beschreven om het eerste knooppunt toe te voegen aan het extra cluster of clusters.

Tenantorganisaties beheren voor hybride databeveiliging met meerdere tenants

Multi-tenant HDS activeren op partnerhub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties kunnen beginnen met het gebruik van HDS voor On-Premises encryptiesleutels en andere beveiligingsdiensten.

Voordat u begint

Zorg ervoor dat u klaar bent met het instellen van uw Multi-Tenant HDS-cluster met het vereiste aantal nodes.

1	Aanmelden bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	Zoek in de sectie Hybrid Data Security en klik op Edit Settings.
4	Klik op Activate HDS op de pagina HDS Status kaart.

Tenant organisaties toevoegen in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw Hybrid Data Security Cluster.

1	Aanmelden bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	Zoek in de sectie Hybrid Data Security en klik op View all.
4	Ga naar het menu Assigned customers Virtuele vergaderingen. Het bericht Assigned customers tabblad wordt pas weergegeven als u een cluster aanmaakt.
5	Klik op Add customers.
6	Selecteer de klant die u wilt toevoegen in het vervolgkeuzemenu.
7	Klik op Add, wordt de klant toegevoegd aan het cluster.
8	Herhaal stappen 5 om 7 meerdere klanten toe te voegen aan uw cluster.
9	Klik op Done onderaan het scherm nadat u de klanten hebt toegevoegd. Toegevoegde klanten worden gesynchroniseerd in alle beschikbare clusters.

De volgende stappen

Voer de HDS-installatietool uit zoals beschreven in Maak Customer Main Keys (CMK's) met behulp van de HDS Setup toolom het installatieproces te voltooien.

Maak Customer Main Keys (CMK's) met behulp van de HDS Setup tool

Voordat u begint

Wijs klanten toe zoals beschreven in Tenant organisaties toevoegen in Partner Hub. Voer de HDS-installatietool uit om het installatieproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS-installatietool achter een proxy in uw omgeving draait, geef dan de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen wanneer u de Docker-container in stap ophaalt 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert bevat de hoofdsleutel die de PostgreSQL of Microsoft SQL Server-database versleutelt. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Databasecriteria
- Updates van certificaten
- Wijzigingen in autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL of SQL Server-implementatie in voor TLS.

Het Hybrid Data Security installatieproces maakt een ISO-bestand aan. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In reguliere omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container draait, zie je "Express server listening on port 8080".
6	Het installatieprogramma ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080om te verbinden met localhost. Gebruik een webbrowser om naar de localhost te gaan, `http://127.0.0.1:8080`, en voer admin-gebruikersnaam in voor Partner Hub bij de prompt. De tool gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont dan de standaard aanmeldingsprompt.
7	Als u daarom wordt gevraagd, voert u uw aanmeldingsgegevens voor de beheerder van de partnerhub in en klikt u op Log in om toegang te verlenen tot de vereiste diensten voor Hybrid Data Security.
8	Klik op de overzichtspagina van de Installatietool Get Started.
9	Selecteer in het deelvenster ISO Import pagina, klik Yes.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg voor connectiviteit met uw database om CMK-beheer uit te voeren.
11	Ga naar het menu Tenant CMK Management tab, waar u de volgende drie manieren vindt om Tenant CMK's te beheren. Create CMK for all ORGs of Create CMK - Klik op deze knop op de banner bovenaan het scherm om CMK's aan te maken voor alle nieuw toegevoegde organisaties. Klik op Manage CMKs knop aan de rechterkant van het scherm en klik Create CMKs om CMK's te creëren voor alle nieuw toegevoegde organisaties. Klik in de tabel op in de buurt van het CMK-management in afwachting van de status van een specifieke organisatie en klik Create CMK om CMK voor die organisatie te creëren.
12	Zodra de creatie van CMK succesvol is, zal de status in de tabel veranderen van CMK management pending naar CMK managed.
13	Als het aanmaken van CMK niet gelukt is, wordt er een fout weergegeven.

Tenant organisaties verwijderen

Voordat u begint

Eenmaal verwijderd, zullen gebruikers van klantorganisaties niet in staat zijn om gebruik te maken van HDS voor hun encryptiebehoeften en zullen ze alle bestaande ruimten verliezen. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Aanmelden bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	Zoek in de sectie Hybrid Data Security en klik op View all.
4	Klik op de pagina die wordt geopend op de Assigned Customers Virtuele vergaderingen.
5	Klik in de lijst met klantorganisaties die worden weergegeven op aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik op Remove from cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties te herroepen zoals beschreven in CMK's van huurders die uit HDS zijn verwijderd intrekken.

CMK's van huurders die uit HDS zijn verwijderd intrekken.

Voordat u begint

Verwijder klanten zoals beschreven in Tenant organisaties verwijderen. Voer de HDS-installatietool uit om het verwijderingsproces voor de verwijderde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS-installatietool achter een proxy in uw omgeving draait, geef dan de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen wanneer u de Docker-container in stap ophaalt 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert bevat de hoofdsleutel die de PostgreSQL of Microsoft SQL Server-database versleutelt. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Databasecriteria
- Updates van certificaten
- Wijzigingen in autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL of SQL Server-implementatie in voor TLS.

Het Hybrid Data Security installatieproces maakt een ISO-bestand aan. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In reguliere omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container draait, zie je "Express server listening on port 8080".
6	Het installatieprogramma ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080om te verbinden met localhost. Gebruik een webbrowser om naar de localhost te gaan, `http://127.0.0.1:8080`, en voer admin-gebruikersnaam in voor Partner Hub bij de prompt. De tool gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont dan de standaard aanmeldingsprompt.
7	Als u daarom wordt gevraagd, voert u uw aanmeldingsgegevens voor de beheerder van de partnerhub in en klikt u op Log in om toegang te verlenen tot de vereiste diensten voor Hybrid Data Security.
8	Klik op de overzichtspagina van de Installatietool Get Started.
9	Selecteer in het deelvenster ISO Import pagina, klik Yes.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het menu Tenant CMK Management tab, waar u de volgende drie manieren vindt om Tenant CMK's te beheren. Revoke CMK for all ORGs of Revoke CMK - Klik op deze knop op de banner bovenaan het scherm om CMK's van alle organisaties die werden verwijderd in te trekken. Klik op Manage CMKs knop aan de rechterkant van het scherm en klik Revoke CMKs om CMK's van alle organisaties die zijn verwijderd in te trekken. Klik in de tabel op in de buurt van de status CMK om te worden ingetrokken van een specifieke organisatie en klik op Revoke CMK om CMK voor die specifieke organisatie in te trekken.
12	Zodra CMK-herroeping succesvol is, verschijnt de klantorganisatie niet meer in de tabel.
13	Als CMK-herroeping niet succesvol is, wordt een fout weergegeven.

Uw implementatie voor hybride databeveiliging testen

Test uw hybride implementatie van gegevensbeveiliging

Gebruik deze procedure om Multi-Tenant Hybrid Data Security encryptiescenario's te testen.

Voordat u begint

Stel uw Multi-Tenant Hybrid Data Security-implementatie in.
Zorg ervoor dat u toegang hebt tot de syslog om te controleren of belangrijke verzoeken worden doorgegeven aan uw Multi-Tenant Hybrid Data Security implementatie.

1

Sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantenorganisatie en maak vervolgens een ruimte aan.

Als u de implementatie van Hybrid Data Security deactiveert, is content in ruimten die gebruikers maken niet langer toegankelijk zodra de door de client gecached kopieën van de encryptiesleutels zijn vervangen.

2

Berichten naar de nieuwe ruimte verzenden.

3

Controleer de syslog-uitvoer om te controleren of de belangrijkste verzoeken worden doorgegeven aan uw Hybrid Data Security-implementatie.

Als een gebruiker van een nieuw toegevoegde klantorganisatie een actie uitvoert, verschijnt de org-ID van de organisatie in de logboeken en kan dit worden gebruikt om te controleren of de organisatie gebruik maakt van Multi-Tenant HDS. Controleer de waarde van kms.data.orgId in de syslogs.

Om te controleren of een gebruiker eerst een veilig kanaal naar de KMS heeft ingesteld, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION :

U zou een vermelding moeten vinden zoals de volgende (identifiers shortened for readability):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een bestaande sleutel van de KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren op een gebruiker die de creatie van een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Als u wilt controleren of een gebruiker een nieuw KMS Resource Object (KRO) aanvraagt wanneer een ruimte of andere beschermde resource wordt aangemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Interpreteren van HDS-logboeken en etiketten van agenten begrijpen

HDS-logboeken bieden gedetailleerde informatie over KMS-verzoeken. Deze logboeken bevatten verschillende velden die helpen om de aard van het verzoek en de bijbehorende identiteit te identificeren. Het begrijpen van deze domeinen is essentieel voor een correcte interpretatie van activiteiten en vertrouwde interne operaties.

Terminologie

Om duidelijkheid te verzekeren bij het beoordelen van HDS-logboeken, is het belangrijk om de volgende termen te begrijpen:

Term	Definitie
Serviceaccount	Een service-identiteit waarmee Webex-diensten geautoriseerde handelingen veilig kunnen uitvoeren.
Agent	Een service-entiteit of service-account identiteit die wordt gebruikt om geautomatiseerde activiteiten uit te voeren binnen de HDS-omgeving.
Agentlabel	Een tag in HDS-logboeken die de specifieke bron en het type van een binnenkomend verzoek identificeert, waardoor een effectieve audit van toegangscontrole mogelijk is.
Gedelegeerde toegang	Een geautoriseerd serviceaccount dat een aanvraag indient voor een specifieke gebruiker, binnen de machtigingen van die gebruiker. Verschijnt als delegatieaanvraag: `agent -> userid`.

De term "Agent" verwijst in deze context specifiek naar HDS-dienstidentiteiten. Deze zijn niet gerelateerd aan de AI-aangedreven agenten die worden gebruikt in andere Webex-functies.

Een verzoek wordt alleen betekend wanneer het afkomstig is van:

een geauthenticeerde gebruiker in uw organisatie, of
een serviceaccount dat zich in uw organisatie bevindt en geautoriseerd is door uw organisatie.

Overzicht logvelden

Veld	Wat het vertegenwoordigt
Tijdstempels	Datum en tijd van de operatie.
kms.data.methode	De KMS-operatie uitgevoerd (bijv. ophalen).
kms.data.orgld	Identificatie organisatie.
kms.data.httpUserAgent	De klant of dienst die het verzoek doet.
WEBEX_TRACKINGID	Unieke tracking identifier voor het verzoek.
kms.data.uriHost / kms.data.uri	De host en de bron waarop het verzoek betrekking heeft.
kms.data.userld	De identiteit die het verzoek uitvoert, inclusief een agentlabel.
kms.response.succes	Geeft aan of de aanvraag geslaagd is.

Soorten aanvragen - Snelle referentie

Tag in log	Agentlabel	Wat het vertegenwoordigt	Typische bewerkingen
Gebruikerstype: userAgent	Gebruikersagent	Een vertrouwde service-account gekoppeld aan een gebruikersworkflow, afgebakend aan uw organisatie.	Sleutels aanmaken/beheren voor een gebruikersproces.
o-agent <id> -> userid <id>	Organisatie-agent	Een vertrouwde service-account op organisatieniveau met behulp van gedelegeerde toegang.	Extractie van Webex-gegevens door compliance officer, kalenderintegraties.
c-agent <id> -> userid <id>	Cloud-agent	Een Webex-dienst die een gedelegeerde aanvraag uitvoert voor een specifieke gebruiker.	Virusscanning, inhoudsvoorvertoning, transcripten.
c-agent <id>	Cloud-agent	Een Webex-dienst die een gedelegeerde aanvraag uitvoert.	ECDHE / sessiesleutels.
Eindgebruiker UUID	-	De geauthenticeerde eindgebruiker die interageert met HDS.	Een gebruiker die zijn eigen sleutel ophaalt.

Soorten aanvragen - In detail

Agentlabels categoriseren de bron van het verzoek en helpen bij het bepalen van de juiste toegangscontroles. De volgende voorbeelden tonen meerdere soorten verzoeken en de bijbehorende agentlabels.

User Agent (userAgent):

Dit zijn vertrouwde Webex-servicerekeningen gekoppeld aan specifieke workflows van gebruikers en zijn gericht op de organisatie van de klant. Ze worden meestal gebruikt wanneer een service sleutels creëert en beheert namens een gebruikersworkflow.

Voorbeeld log:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Sleutelindicator: Het steekproeflogboek toont een user agent (userAgent) het uitvoeren van activiteiten voor het verzamelen van hulpbronnen voor een Webex-dienst.
Org-agent (o-agent):

Deze vertrouwde Webex-serviceaccounts zijn gemachtigd om gedelegeerde handelingen uit te voeren namens gebruikers binnen HDS. Deze accounts zijn gericht op de klantenorganisatie en voeren activiteiten op organisatieniveau uit. Deze functionaliteit ondersteunt verschillende functies, zoals het mogelijk maken van compliance officers om Webex-communicatiegegevens te zoeken en te extraheren - ervoor zorgen dat de organisatie in overeenstemming is met de wettelijke, beveiligings- en privacynormen.

Voorbeeld log:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Sleutelindicator: Het steekproeflogboek toont een org-agent (o-agent 9[~]c) het opvragen van een sleutel namens de gebruiker (4[~]b) voor een Webex-dienst.
Cloud Agent (c-agent):
Deze vertrouwde Webex-serviceaccounts zijn gemachtigd om bewerkingen uit te voeren op HDS via gedelegeerde toegang namens een gebruiker. Ze ondersteunen essentiële functies - zoals post-meeting opnames, transcripts, anti-malware scannen en file previews die de algehele gebruikerservaring verbeteren.

Hoewel Cloud Agents kunnen worden uitgeschakeld door de ISO te wijzigen, moeten klanten zich ervan bewust zijn dat dit zal leiden tot een verlies van functionaliteiten, zoals post-meeting opnames, transcripties, bestandsvoorbeelden en geautomatiseerde anti-malware scanning in Webex App Spaces. Voor meer informatie, zie Cloudagenten uitschakelensectie.

Voorbeeld log:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Sleutelindicator: De monsterlog toont een cloudagent (c-agent b[~]c) het opvragen van een inhoudsleutel namens de gebruiker (9[~]c).

Directe interactie eindgebruiker:

Een geverifieerde gebruiker die rechtstreeks met HDS interageert.

Voorbeeld log:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Sleutelindicator: De sample log toont een eindgebruiker (c[~]f) het ophalen van een sleutel en het direct interageren met HDS.

Monitor Hybrid Data Security Health

Een statusindicator in Partner Hub toont u of alles goed is met de implementatie van Multi-Tenant Hybrid Data Security. Meld u aan voor e-mailmeldingen voor een meer proactieve waarschuwing. U wordt op de hoogte gebracht wanneer er alarmeringen of software-upgrades zijn die invloed hebben op de service.

1	In Partnerhub, selecteer Services vanuit het menu aan de linkerkant van het scherm.
2	Zoek in de sectie Hybrid Data Security en klik op Edit Settings. De pagina Hybrid Data Security Settings verschijnt.
3	Typ in de sectie E-mailmeldingen een of meer e-mailadressen gescheiden door komma's en druk op Enter.

Uw HDS-implementatie beheren

HDS-implementatie beheren

Gebruik de hier beschreven taken om uw implementatie van Hybrid Data Security te beheren.

Upgradeschema cluster instellen

Software-upgrades voor Hybrid Data Security worden automatisch uitgevoerd op clusterniveau, wat ervoor zorgt dat alle nodes altijd dezelfde softwareversie draaien. Upgrades worden uitgevoerd volgens het upgradeschema voor de cluster. Wanneer een software-upgrade beschikbaar wordt, hebt u de mogelijkheid om het cluster handmatig te upgraden vóór de geplande upgrade-tijd. U kunt een specifiek upgradeschema instellen of het standaardschema van 3 gebruiken:00 AM Daily Verenigde Staten: Amerika/Los Angeles. Je kan er ook voor kiezen om een komende upgrade uit te stellen, indien nodig.

Om het upgradeschema in te stellen:

1	Meld u aan bij Partner Hub.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	Zoek in de sectie Hybrid Data Security en klik op Set up
4	Selecteer het cluster op de pagina Hybride gegevensbeveiligingsbronnen.
5	Klik op de Cluster Settings Virtuele vergaderingen.
6	Selecteer op de pagina Clusterinstellingen onder Upgradeschema de tijd en tijdzone voor het upgradeschema. Opmerking: Onder de tijdzone wordt de eerstvolgende beschikbare upgradedatum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen naar de volgende dag door te klikken Postpone by 24 hours.

De knooppuntconfiguratie wijzigen

Soms moet u de configuratie van uw Hybrid Data Security-knooppunt wijzigen om een reden zoals:

Wijzigen van x.509 certificaten wegens afloop of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Voor beveiligingsdoeleinden gebruikt Hybrid Data Security ook wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een bericht van het Webex-team om het wachtwoord voor uw machineaccount te resetten. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Soft reset—De oude en nieuwe wachtwoorden werken allebei tot 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset—De oude wachtwoorden werken niet meer onmiddellijk.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Het installatieproces vereist de inloggegevens van een Partner Hub-account met de volledige beheerdersrechten van de partner .

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS-installatietool uit te voeren voor stappen 1.a tot en met 1.e in de onderstaande procedure. Zie HDS-installatieprogramma uitvoeren met behulp van Podman Desktopvoor details.

Als de HDS-installatietool achter een proxy in uw omgeving draait, geef dan de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen wanneer u de Docker-container in 1.e. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool gemaakt voor februari 22, 2018 hebben niet de schermen voor het resetten van het wachtwoord. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container draait, zie je "Express server listening on port 8080". Gebruik een browser om verbinding te maken met de localhost. `http://127.0.0.1:8080`. Het installatieprogramma ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080om te verbinden met localhost. Wanneer u daarom wordt gevraagd, voert u de inloggegevens van uw Partner Hub-klant in en klikt u op Accept om door te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Als u de setuptool wilt afsluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als er slechts één HDS-knooppunt draait, maak dan een nieuwe Hybrid Data Security-knooppunt VM aan en registreer deze met het nieuwe ISO-bestand voor configuratie. Voor meer gedetailleerde instructies, zie Meer nodes aanmaken en registreren. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partner Hub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Edit Settings. Klik op `CD/DVD Drive 1`, selecteer de optie om te mounten vanuit een ISO-bestand en blader naar de locatie waar u het nieuwe ISO-configuratiebestand hebt gedownload. Controleren Connect at power on. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie te vervangen op elk overgebleven knooppunt dat de oude configuratie draait.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de Hybrid Data Security node interface (IP-adres/setup, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersreferenties in die u voor de node hebt ingesteld en klik vervolgens op Sign In.
2	Ga naar Overzicht (de standaardpagina). Indien ingeschakeld, Blocked External DNS Resolution is ingesteld op Yes.
3	Ga naar het menu Trust Store & Proxy .
4	Klik op Check Proxy Connection. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-resolutie, nadat u het knooppunt opnieuw hebt opgestart en teruggaat naar de pagina Overzicht, op nee worden ingesteld.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Verwijder een knooppunt

Gebruik deze procedure om een Hybrid Data Security node uit de Webex cloud te verwijderen. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere client op uw computer om in te loggen op de ESXi virtuele host en schakel de virtuele machine uit.

2

Verwijder het knooppunt:

Meld u aan bij Partner Hub en selecteer vervolgens Services.
Klik op de Hybrid Data Security-kaart View All om de pagina Hybride gegevensbeveiligingsbronnen weer te geven.
Selecteer uw cluster om het overzichtspaneel weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Deregister this node op het paneel dat rechts verschijnt
U kunt het knooppunt ook uitschrijven door op … aan de rechterkant van het knooppunt te klikken en te selecteren Deregister node.

3

Verwijder in de vSphere-client de VM. (Klik in het linkernavigatiedeelvenster met de rechtermuisknop op de VM en klik op Delete.)

Als u de VM niet verwijdert, vergeet dan niet om het ISO-bestand van de configuratie af te koppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken om toegang te krijgen tot uw beveiligingsgegevens.

Disaster Recovery met behulp van Standby Data Center

De meest kritieke service die uw Hybrid Data Security cluster biedt, is het creëren en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die is opgeslagen in de Webex-cloud te versleutelen. Voor elke gebruiker binnen de organisatie die is toegewezen aan Hybrid Data Security, worden nieuwe aanvragen voor het aanmaken van sleutels doorgestuurd naar het cluster. Het cluster is ook verantwoordelijk voor het retourneren van de sleutels die het heeft gemaakt aan gebruikers die gemachtigd zijn om ze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de kritieke functie vervult om deze sleutels te leveren, is het noodzakelijk dat het cluster blijft draaien en dat de juiste back-ups worden onderhouden. Verlies van de Hybrid Data Security-database of van de configuratie-ISO die voor het schema wordt gebruikt, zal leiden tot een NIET-TERUGVORDERBAAR VERLIES van de inhoud van de klant. De volgende praktijken zijn verplicht om een dergelijk verlies te voorkomen:

Als een ramp ervoor zorgt dat de HDS-implementatie in het primaire datacenter niet beschikbaar is, volg dan deze procedure om handmatig failover te gaan naar het standby datacenter.

Voordat u begint

Gebruik het meest recente ISO-bestand dat is geconfigureerd tegen de knooppunten van het cluster dat eerder actief was, om de hieronder vermelde failover-procedure uit te voeren.

1	Start de HDS Setup tool en volg de stappen vermeld in Een configuratie-ISO aanmaken voor de HDS-hosts.
2	Klik na het configureren van de Syslogd-server op Advanced Settings
3	Selecteer in het deelvenster Advanced Settings pagina, voeg de configuratie hieronder toe of verwijder de `passiveMode` configuratie om het knooppunt actief te maken. Het knooppunt kan verkeer verwerken zodra dit is geconfigureerd. `passiveMode: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk te vinden locatie.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Houd de reservekopie veilig. Dit bestand bevat een hoofdsleutel voor versleuteling voor de inhoud van de database. Beperk de toegang tot alleen die beheerders van hybride gegevensbeveiliging die configuratiewijzigingen moeten aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Edit Settings..
7	Klik op Edit Settings >CD/DVD Drive 1 en selecteer Datastore ISO File. Zorg ervoor Connected en Connect at power on worden gecontroleerd zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het starten van de knooppunten.
8	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
9	Herhaal het proces voor elke node in het standby datacenter. Controleer de syslog-uitvoer om te controleren of de knooppunten van het standby-datacenter niet in passieve modus zijn. “KMS geconfigureerd in passieve modus” mag niet in de syslogs verschijnen.

De volgende stappen

Plaats na failover, als het primaire datacenter weer actief wordt, het standby datacenter opnieuw in passieve modus door de stappen te volgen die beschreven zijn in Stand-by datacenter instellen voor disaster recovery.

(Optioneel) Unmount ISO na HDS-configuratie

De standaard HDS configuratie draait met de ISO gemonteerd. Maar sommige klanten geven er de voorkeur aan ISO-bestanden niet continu gemonteerd achter te laten. U kunt het ISO-bestand loskoppelen nadat alle HDS-knooppunten de nieuwe configuratie ophalen.

U gebruikt nog steeds de ISO-bestanden om de configuratie te wijzigen. Wanneer u een nieuwe ISO maakt of een ISO bijwerkt via de Setup Tool, moet u de bijgewerkte ISO op al uw HDS-knooppunten aankoppelen. Zodra al uw nodes de configuratiewijzigingen hebben opgepikt, kunt u de ISO opnieuw afkoppelen met deze procedure.

Voordat u begint

Upgrade al uw HDS-nodes naar versie 2025.06.02.6983 of hoger.

1	Sluit een van uw HDS-knooppunten af.
2	Selecteer in het vCenter Server Appliance het HDS-knooppunt.
3	Kiezen Edit Settings > CD/DVD drive en uitvinken Datastore ISO File.
4	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 20 minuten geen alarmen zijn.
5	Herhaal voor elke HDS-node op zijn beurt.

Problemen met hybride databeveiliging oplossen

Waarschuwingen en probleemoplossing bekijken

Een Hybrid Data Security-implementatie wordt als onbeschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn, of als het cluster zo traag werkt dat time-out vraagt. Als gebruikers uw Hybrid Data Security-cluster niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe spaties worden aangemaakt (kan geen nieuwe sleutels aanmaken)
Berichten en ruimtetitels kunnen niet ontcijferen voor:
- Nieuwe gebruikers toegevoegd aan een spatie (kan sleutels niet ophalen)
- Bestaande gebruikers in een ruimte met behulp van een nieuwe client (kan sleutels niet ophalen)
Bestaande gebruikers in een ruimte zullen succesvol blijven zolang hun klanten een cache van de encryptiesleutels hebben

Het is belangrijk dat u uw Hybrid Data Security-cluster goed bewaakt en alle waarschuwingen onmiddellijk behandelt om onderbrekingen van de service te voorkomen.

Waarschuwingen

Als er een probleem is met de instelling Hybrid Data Security, geeft Partner Hub waarschuwingen weer aan de organisatiebeheerder en stuurt e-mails naar het geconfigureerde e-mailadres. De waarschuwingen hebben betrekking op veel voorkomende scenario's.

Table 1. Common Issues and the Steps to Resolve Them
Alarm	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of lokale netwerkproblemen.
Lokale databaseverbinding mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste service-accountgegevens zijn gebruikt in knooppuntconfiguratie.
Fout bij toegang tot cloudservices.	Controleer of de nodes toegang hebben tot de Webex-servers zoals gespecificeerd in Externe connectiviteitsvereisten.
Registratie van clouddiensten vernieuwen.	De registratie voor clouddiensten werd stopgezet. De registratie wordt vernieuwd.
De registratie van de clouddienst is ingetrokken.	Registratie voor cloudservices beëindigd. De service wordt afgesloten.
Service nog niet geactiveerd.	HDS activeren in Partner Hub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde service-activeringsdomein. De meest waarschijnlijke oorzaak is dat de CN van het certificaat onlangs werd gewijzigd en nu verschilt van de CN die werd gebruikt tijdens de eerste installatie.
Aanmeldingscontrole bij cloudservices is mislukt.	Controleer of de inloggegevens van de serviceaccount correct zijn en of ze mogelijk vervallen.
Kon lokaal keystore-bestand niet openen.	Controleer op integriteit en wachtwoordnauwkeurigheid op lokaal keystore-bestand.
Lokaal servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificaatautoriteit.
Kon metrische gegevens niet posten.	Controleer lokale netwerktoegang tot externe cloudservices.
/media/configdrive/hds-map bestaat niet.	Controleer de configuratie van de ISO-mount op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om op reboot te monteren en dat het met succes wordt gemounteerd.
Tenant Org Setup is niet voltooid voor de toegevoegde organisaties	Maak de installatie compleet door CMK's te maken voor nieuw toegevoegde huurdersorganisaties met behulp van HDS Setup Tool.
Tenant Org Setup is niet voltooid voor de verwijderde organisaties	Volledige installatie door het intrekken van CMK's van tenant organisaties die zijn verwijderd met behulp van HDS Setup Tool.

Problemen met hybride gegevensbeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybrid Data Security.

1	Meld u aan bij Partner Hub.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	Zoek in de sectie Hybrid Data Security en klik op Events.
4	Bekijk de evenementengeschiedenis pagina voor eventuele waarschuwingen en repareer eventuele items die u daar vindt. Zie onderstaande afbeelding ter referentie.
5	Bekijk de output van de syslog-server voor activiteit van de Hybrid Data Security-implementatie. Filter voor woorden als "Waarschuwing" en "Fout" om te helpen bij het oplossen van problemen.
6	Contact Cisco-ondersteuning.

HDS Ontwikkelaar API's

De HDS Developer API's zijn een manier om analyses en monitoringgegevens op te halen en uw HDS-implementaties op te lossen via de Webex Developer Portal. De API's zijn beschikbaar op https://developer.webex.com/messaging/docs/api/v1Categorie: HDS.

Overige opmerkingen

Bekende problemen voor hybride gegevensbeveiliging

Als u al uw Hybrid Data Security actieve clusters afsluit (door deze te verwijderen in Partner Hub of door alle knooppunten af te sluiten), uw configuratie ISO-bestand verliest, of de toegang tot de keystore-database verliest, kunnen Webex App-gebruikers van klantorganisaties geen spaties meer gebruiken onder hun lijst Mensen die zijn gemaakt met sleutels van uw KMS. We hebben momenteel geen oplossing of oplossing voor dit probleem en raden u aan om uw HDS-services niet af te sluiten zodra ze actieve gebruikersaccounts behandelen.
Een klant die een bestaande ECDH-verbinding met een KMS heeft, houdt die verbinding gedurende een bepaalde periode (waarschijnlijk één uur) bij.

HDS-installatieprogramma uitvoeren met behulp van Podman Desktop

Podman is een gratis en open-source container management tool die een manier biedt om containers te beheren, te beheren en te maken. Podman Desktop kan worden gedownload van https://podman-desktop.io/downloads.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Om toegang te krijgen, download en start Podman op die machine. Het installatieproces vereist de inloggegevens van een Control Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS-installatietool achter een proxy in uw omgeving draait, geef dan de proxy-instellingen (server, poort, inloggegevens) via de Docker-omgevingsvariabelen wanneer u de Docker-container in stap 5 aanbrengt. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert bevat de hoofdsleutel die de PostgreSQL of Microsoft SQL Server-database versleutelt. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Databasecriteria
- Updates van certificaten
- Wijzigingen in autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL of SQL Server-implementatie in voor TLS.

Het Hybrid Data Security installatieproces maakt een ISO-bestand aan. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

De volgende stappen

Volg de resterende stappen in Een configuratie-ISO aanmaken voor de HDS-hostsof De knooppuntconfiguratie wijzigenom ISO-configuratie aan te maken of te wijzigen.

Cloudagenten uitschakelen

Cloud Agents (c-agent) zijn vertrouwde Webex-serviceaccounts die operaties uitvoeren op HDS via gedelegeerde toegang namens een gebruiker om de algemene gebruikerservaring te verbeteren. Het uitschakelen van Cloud Agents blokkeert Webex-services om toegang te krijgen tot HDS-sleutels op locatie.

Het uitschakelen van cloud agents zal leiden tot het verlies van functies zoals post-meeting opnames, transcripts, file previews en geautomatiseerde anti-malware scanning in Webex App Spaces.

Volg de onderstaande stappen om cloudagenten uit te schakelen voor uw HDS-implementatie.

1	Start de HDS Setup tool en volg de stappen vermeld in Een configuratie-ISO aanmaken voor de HDS-hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden gemaakt.
2	Klik na het configureren van de Syslogd-server op Advanced Settings.
3	Selecteer in het deelvenster Advanced Settings pagina, voeg de configuratie hieronder toe om cloud agents uit te schakelen. Dit zorgt ervoor dat cloud agents geen HDS-verkeer mogen verwerken. `cloudAgentUpdateEnabled: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk te vinden locatie.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Houd de reservekopie veilig. Dit bestand bevat een hoofdsleutel voor versleuteling voor de inhoud van de database. Beperk de toegang tot alleen die beheerders van hybride gegevensbeveiliging die configuratiewijzigingen moeten aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Edit Settings..
7	Klik op Edit Settings >CD/DVD Drive 1 en selecteer Datastore ISO File. Zorg ervoor Connected en Connect at power on worden gecontroleerd zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het starten van de knooppunten.
8	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
9	Herhaal het proces voor elke node in uw HDS-implementatie. Controleer of Cloud Agents uitgeschakeld zijn door de syslogs te controleren op het volgende item: 'Cloud Agent-update uitgeschakeld'.

Verplaats de bestaande single-tenant HDS-implementatie van een partnerorganisatie in Control Hub naar een multi-tenant HDS-installatie in Partner Hub

De conversie van een bestaande single-tenant HDS-implementatie van een partnerorganisatie beheerd in Control Hub naar een multi-tenant HDS-implementatie beheerd in Partner Hub omvat voornamelijk het deactiveren van de HDS-service in Control Hub, het uitschrijven van knooppunten en het verwijderen van de cluster. U kunt dan inloggen op Partner Hub, de knooppunten registreren, Multi-Tenant HDS activeren en klanten toevoegen aan uw cluster.

De term "single-tenant" verwijst eenvoudigweg naar een bestaande HDS-implementatie in Control Hub.

HDS deactiveren, knopen uitschrijven en alle clusters in Control Hub verwijderen

1	Meld u aan bij Control Hub. Klik in het linkerdeelvenster Hybrid. Klik op de Hybrid Data Security-kaart Edit Settings.
2	Scrol op de pagina Instellingen naar beneden naar de sectie Deactiveren en klik op Deactivate.
3	Klik na deactivering op de Resources Virtuele vergaderingen.
4	Het bericht Resources pagina's lijsten van clusters in uw HDS-implementatie. Klik op een cluster, er wordt een pagina geopend met alle knooppunten onder die cluster.
5	Klik op rechts en klik op Deregister node. Herhaal het proces voor alle knooppunten in het cluster.
6	Als uw implementatie meerdere clusters heeft, herhaal dan stap 4 en stap 5 totdat alle nodes zijn uitgeschreven.
7	Klik op Cluster Settings > Remove.
8	Klik op Confirm Removal om het cluster uit te schrijven.
9	Herhaal het proces voor alle clusters in uw HDS-implementatie. Na uitschakeling van HDS, uitschrijving van knooppunten en verwijdering van clusters, wordt onderaan de Hybrid Data Service-kaart op de Control Hub Setup not completed weergegeven.

Activeer Multi-Tenant HDS voor de partnerorganisatie op Partner Hub en voeg klanten toe

Voordat u begint

Alle voorwaarden vermeld in Vereisten voor hybride gegevensbeveiliging met meerdere huurderszijn hier van toepassing. Zorg er bovendien voor dat dezelfde database en certificaten worden gebruikt tijdens de verplaatsing naar Multi-Tenant HDS.

1	Log in op Partner Hub. Klik op Services op het linkerdeelvenster. Gebruik dezelfde ISO van uw vorige HDS-implementatie om de nodes te configureren. Dit zorgt ervoor dat berichten en inhoud die door de gebruikers in de vorige bestaande HDS-implementatie zijn gegenereerd, nog steeds toegankelijk zijn in de nieuwe Multi-Tenant-configuratie.
2	Zoek in de sectie Hybrid Data Security Card en klik op Set up.
3	Klik op de pagina die wordt geopend Add a resource.
4	In het eerste veld van Create a cluster kaart, voer een naam in voor het cluster waaraan u uw Hybrid Data Security-knooppunt wilt toewijzen. We raden u aan een cluster te benoemen op basis van waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: "San Francisco" of "New York" of "Dallas"
5	Voer in het tweede veld het interne IP-adres of volledig gekwalificeerde domeinnaam (FQDN) van uw knooppunt in en klik op Add onderaan het scherm. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein dat u gebruikte De Hybrid Data Security VM instellen. Er verschijnt een bericht dat aangeeft dat u uw knooppunt aan de Webex kunt registreren.
6	Klik op Go to Node. Na enkele ogenblikken wordt u doorgestuurd naar de knoopconnectiviteitstesten voor Webex-diensten. Als alle tests succesvol zijn, verschijnt de pagina Toegang tot hybride gegevensbeveiligingsknooppunt toestaan. Daar bevestigt u dat u toestemming wilt geven aan uw Webex-organisatie om toegang te krijgen tot uw knooppunt.
7	Controleer de Allow Access to Your Hybrid Data Security Node aankruisvakje en klik vervolgens op Continue. Uw account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat uw node nu is geregistreerd in Webex cloud. Selecteer in het deelvenster Hybrid Data Security pagina, de nieuwe cluster met het knooppunt dat u hebt geregistreerd, wordt weergegeven onder de Resources Virtuele vergaderingen. De node zal automatisch de nieuwste software uit de cloud downloaden.
8	Ga naar het menu Settings tabblad en klik op Activate op de HDS-statuskaart. Activated HDS bericht verschijnt onderaan het scherm.
9	Klik op de Assigned customers Virtuele vergaderingen.
10	Klik op Add customers.
11	Selecteer de klant die u wilt toevoegen in het vervolgkeuzemenu.
12	Klik op Add, wordt de klant toegevoegd aan het cluster.
13	Herhaal stappen 11 om 13 meerdere klanten toe te voegen aan uw cluster.
14	Klik op Done onderaan het scherm nadat u de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS-installatietool uit zoals beschreven in Maak Customer Main Keys (CMK's) met behulp van de HDS Setup toolom het installatieproces te voltooien.

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een hulpmiddel dat kan worden gebruikt om het PKCS12 bestand in het juiste formaat te maken voor het laden in de HDS Setup Tool. Er zijn andere manieren om dit te doen, en we steunen of promoten de ene weg niet boven de andere.
Als u ervoor kiest om OpenSSL te gebruiken, bieden we deze procedure aan als richtlijn om u te helpen een bestand aan te maken dat voldoet aan de vereisten van het X.509-certificaat in X.509 Certificaatvereisten. Begrijp deze vereisten voordat u doorgaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.orgvoor de software en documentatie.
Maak een persoonlijke sleutel aan.
Start deze procedure wanneer u het servercertificaat van uw Certificate Authority (CA) ontvangt.

1	Wanneer u het servercertificaat van uw CA ontvangt, sla het dan op als `hdsnode.pem`.
2	Toon het certificaat als tekst en controleer de details. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een teksteditor om een certificaatbundelbestand te maken genaamd `hdsnode-bundle.pem`. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de root CA-certificaten bevatten, in het onderstaande formaat: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Maak het .p12 bestand met de vriendelijke naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de private sleutel te versleutelen zodat deze in de uitvoer wordt weergegeven. Controleer vervolgens of de private sleutel en het eerste certificaat de regels bevatten `friendlyName: kms-private-key`. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

De volgende stappen

Terug naar Voltooi de vereisten voor hybride gegevensbeveiliging. U gebruikt de hdsnode.p12 bestand en het wachtwoord dat u ervoor hebt ingesteld, in Een configuratie-ISO aanmaken voor de HDS-hosts.

U kunt deze bestanden hergebruiken om een nieuw certificaat aan te vragen wanneer het originele certificaat verloopt.

Verkeer tussen de HDS Nodes en de Cloud

Verzamelverkeer uitgaande meetgegevens

De Hybrid Data Security nodes sturen bepaalde parameters naar de Webex-cloud. Deze omvatten systeemmeeteenheden voor heap max, gebruikte heap, CPU-belasting en aantal threads; meeteenheden op synchrone en asynchrone threads; meeteenheden op waarschuwingen met betrekking tot een drempel van encryptie-verbindingen, latentie of een verzoek wachtrij lengte; meeteenheden op de datastore; en meeteenheden voor encryptie-verbinding. De nodes verzenden gecodeerd sleutelmateriaal via een out-of-band (los van het verzoek) kanaal.

Inkomend verkeer

De Hybrid Data Security nodes ontvangen de volgende soorten inkomend verkeer van de Webex cloud:

Versleutelingsverzoeken van klanten, die worden doorgestuurd door de versleutelingsdienst
Upgrades van de node software

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid proxies die HTTPS-verkeer inspecteren kunnen interfereren met de oprichting van websocket (wss:) verbindingen die Hybrid Data Security vereist. Deze secties geven richtlijnen over hoe u verschillende versies van Squid kunt configureren om te negeren wss: verkeer voor de juiste werking van de services.

Inktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn tot squid.conf:

on_unsupported_protocol tunnel all

Inktvis 3.5.27

We hebben met succes Hybrid Data Security getest met de volgende regels toegevoegd aan squid.conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en eventuele grote fouten die zijn verholpen in de Implementatiehandleiding voor hybride gegevensbeveiliging met meerdere tenants.

Datum	Aangebrachte wijzigingen
30 juli 2026	De sectie X.509-certificaatvereisten is bijgewerkt om aan te geven dat alleen RSA-certificaten worden ondersteund.
2 juli 2026	Toegevoegd Cloudagents uitschakelen sectie.
23 juni 2026	Toegevoegd Sectie 'HDS-logboeken interpreteren en agentlabels begrijpen ' .
1 juni 2026	De sectie HDS Developer APIs is toegevoegd. Een notitie toegevoegd aan Run HDS Setup tool using Podman Desktop sectie.
16 april 2026	Bijgewerkte vereisten voor de databaseserver om ondersteuning toe te voegen voor PostgreSQL-versies 17 en 18.
25 maart 2026	Het standaardwachtwoord voor het inloggen op de virtuele machine van het Hybrid Data Security-knooppunt is bijgewerkt.
5 december 2025	Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts met de juiste UI-tekst op de pagina Systeemlogboeken en een instructie toegevoegd om het syslog-rootcertificaat te uploaden bij het configureren van TLS-versleuteling.
21 november 2025	Er is een sectie met veelgestelde vragen toegevoegd. Toegevoegde secties Standby-datacenter instellen voor noodherstel en Noodherstel met behulp van Standby-datacenter. De aanduiding (Beta) is verwijderd uit de titel van de implementatiehandleiding.
8 mei 2025	Toegevoegd Verplaats de bestaande HDS-implementatie met één tenant van een partnerorganisatie in Control Hub naar een HDS-configuratie met meerdere tenants in Partner Hub sectie. De syslog-uitvoer is bijgewerkt om de leesbaarheid te verbeteren in het gedeelte Test Your Hybrid Data Security Deployment. Bijgewerkte Vereisten voor virtuele hosts, Taakstroom voor de implementatie van hybride gegevensbeveiliging, en Installeer de HDS Host OVA om ondersteuning voor ESXi 8.0 toe te voegen.
4 maart 2025	Toegevoegd Voer HDS Setup-tool uit met Podman Desktop sectie. Er is een notitie toegevoegd in Docker Desktop-vereisten waarin klanten een alternatieve open-source optie wordt geboden. Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts en Wijzig de knooppuntconfiguratie met instructies voor het gebruik van Podman Desktop voor klanten zonder Docker Desktop-licentie.
30 januari 2025	SQL Server versie 2022 is toegevoegd aan de lijst met ondersteunde SQL-servers in Database server requirements.
15 januari 2025	Toegevoegd Beperkingen van Multi-Tenant Hybrid Data Security.
8 januari 2025	Er is een notitie toegevoegd in Voer de eerste installatie uit en download de installatiebestanden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	De bijgewerkte Virtual Host Requirements, Hybrid Data Security Deployment Task Flow, en Install the HDS Host OVA tonen de nieuwe vereisten van ESXi 7.0.
13 december 2024	Eerste publicatie.

Deactiveer hybride gegevensbeveiliging voor meerdere tenants

Taakstroom voor het deactiveren van HDS in een multi-tenantomgeving

Volg deze stappen om Multi-Tenant HDS volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een Partner met volledige beheerdersrechten.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Verwijder tenantorganisaties.
2	Trek de CMK's van alle klanten in, zoals vermeld in Trek de CMK's in van huurders die uit HDS zijn verwijderd..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partner Hub met behulp van een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybrid Data Security en klik op HDS deactiveren op de HDS-statuskaart.

Veelgestelde vragen

Vraag: Worden de CMK's en de hoofdsleutel in de ISO of in de database opgeslagen?

A: Klantsleutels (CMK's) worden opgeslagen in de database en versleuteld met de hoofdsleutel, die is opgeslagen in de ISO-image.

Vraag: Wordt één sleutel gebruikt om alle gegevens van klantorganisaties te versleutelen?

A: Nee. De gegevens van elke klantorganisatie worden versleuteld met een eigen CMK (Customer Main Key).

Vraag: Wat gebeurt er als ik HDS uitschakel via Partner Hub?

A: Sommige werkzaamheden, zoals het inrichten van een ruimte en het plannen van vergaderingen, zullen direct worden beïnvloed. De bestaande inhoud in de ruimtes blijft toegankelijk totdat de lokale cache verloopt. Na 24 uur worden gebruikers die door de partner worden beheerd, overgezet naar Cloud KMS. Dit kan problemen veroorzaken met eerder aangemaakte ruimtes en één-op-één-ruimtes.

Vraag: Zodra de CMK voor een klantorganisatie is gegenereerd via de HDS Setup-tool, kunnen gebruikers van die klantorganisatie dan direct gebruikmaken van Multi-Tenant HDS?

A: Het kan maximaal 24 uur duren voordat de cloudcache is vernieuwd.

Vraag: Waarom zie ik geen lijst met klanten wanneer ik op de knop 'Klanten toevoegen' klik in Partner Hub?

A: Dit betekent meestal dat er geen klantorganisaties zijn die voldoen aan de Cisco Webex-licentievereisten.

Vraag: Wat zijn de gevolgen als alle HDS-nodes uitvallen of als een netwerkprobleem alle HDS-nodes treft?

A: Werkzaamheden zoals het inrichten van ruimtes en het plannen van vergaderingen worden direct beïnvloed. De bestaande inhoud is alleen toegankelijk totdat de lokale cache verloopt.

Vraag: Zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel die tijdens het aanmaken van de ISO-image is gegenereerd?

A: Ja. Momenteel zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel. In de toekomst zullen partnerorganisaties partnerspecifieke sleutels hebben, vergelijkbaar met de CMK's van klanten.

Vraag: Kunnen de partnerorganisatie en de huurdersorganisaties zich in verschillende regio's bevinden (bijvoorbeeld de VS en de EU)?

A: Ja. Partner- en huurdersorganisaties kunnen in verschillende geografische regio's gevestigd zijn.

Vraag: Bestaat er een manier om sleutels terug te zetten naar Cloud KMS?

A: Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug naar de cloud te verplaatsen.

Vraag: Kan een partner Cloud KMS blijven gebruiken en Multi-Tenant HDS exclusief inzetten voor het beheer van klanten?

A: Nee, dit wordt momenteel niet ondersteund. Ondersteuning voor deze functionaliteit is gepland voor de toekomst.

Vraag: Hoe kan een partner controleren of hun organisatie Multi-Tenant HDS gebruikt voor encryptie?

A: Log in bij Partner Hub. Ga naar Diensten > Hybride gegevensbeveiliging > Instellingen . Als de HDS-status is geactiveerd, maken zowel gebruikers van de partnerorganisatie als toegewezen klanten gebruik van Multi-Tenant HDS.

U kunt ook uw systeemlogboeken raadplegen om te controleren of HDS is geactiveerd. Zie Test uw hybride databeveiligingsimplementatie.

Vraag: Bestaat er een alternatief voor Docker Desktop om de HDS Setup-tool uit te voeren?

A: Ja. Podman Desktop is een open-source alternatief voor Docker Desktop. Zie Voer de HDS-installatietool uit met Podman Desktop.

Vraag: Hoeveel knooppunten kan ik inzetten in een HDS-cluster met meerdere tenants?

A: We raden minimaal twee en maximaal 1000 nodes aan.

Vraag: Wat zijn de netwerkvereisten voor het opzetten van Multi-Tenant HDS?

A: Zie Externe verbindingsvereisten.

Vraag: Is Pro Pack voor Control Hub een vereiste voor partnerorganisaties?

A: Nee. Het Pro Pack is geen vereiste voor partnerorganisaties. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij het instellen van Multi-Tenant HDS.

Vraag: Wordt HSM ondersteund in Multi-Tenant HDS?

A: Nee, Multi-Tenant HDS ondersteunt momenteel geen HSM.

Vraag: Kan ik Multi-Tenant HDS testen met een zelfondertekend certificaat?

A: Nee. Multi-Tenant HDS vereist een certificaat dat is verkregen van een vertrouwde CA en dat voldoet aan alle vereisten die worden vermeld in X.509 Certificate Requirements.

Vraag: Is het nodig om de ISO-image elke keer te mounten wanneer een nieuwe klant wordt toegevoegd in Partner Hub?

A: Nee. De ISO hoeft alleen te worden gekoppeld wanneer ISO-configuraties worden gewijzigd. Wanneer u een nieuwe klant toevoegt aan Partner Hub, zorg er dan voor dat u CMK's kunt aanmaken met behulp van de HDS Setup Tool. Zie Klanthoofdsleutels (CMK's) maken met de HDS-installatietool.

Vraag: Gaan gebruikers van de partnerorganisatie, nadat Multi-Tenant HDS is geïmplementeerd op Partner Hub, gebruikmaken van een on-premises KMS voor sleutelbeheer?

A: Gebruikers kunnen pas na de activering van HDS in Partner Hub gebruikmaken van het on-premises KMS voor sleutelbeheer.

Ga aan de slag met hybride gegevensbeveiliging voor meerdere tenants.

Overzicht van gegevensbeveiliging in een hybride omgeving met meerdere tenants

Vanaf dag één stond gegevensbeveiliging centraal bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end contentversleuteling, mogelijk gemaakt door Webex App-clients die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle Webex App-klanten end-to-end-encryptie met dynamische sleutels die zijn opgeslagen in het cloud-KMS, binnen het beveiligingsdomein van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Multi-Tenant Hybrid Data Security stelt organisaties in staat om HDS te benutten via een vertrouwde lokale partner, die kan optreden als serviceprovider en on-premises encryptie en andere beveiligingsdiensten kan beheren. Deze opzet geeft de partnerorganisatie volledige controle over de implementatie en het beheer van encryptiesleutels en zorgt ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties zetten HDS-instanties op en creëren HDS-clusters waar nodig. Elke instantie kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één enkele organisatie.

Hoewel partnerorganisaties de controle hebben over de implementatie en het beheer, hebben ze geen toegang tot de gegevens en content die door klanten worden gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Dit maakt het voor kleinere organisaties ook mogelijk om HDS te gebruiken, aangezien de sleutelbeheerservice en de beveiligingsinfrastructuur, zoals datacenters, in handen zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging voor meerdere tenants datasoevereiniteit en databeheer mogelijk maakt

Door gebruikers gegenereerde content is beschermd tegen externe toegang, bijvoorbeeld via cloudserviceproviders.
Lokale, vertrouwde partners beheren de encryptiesleutels van klanten waarmee ze al een gevestigde relatie hebben.
Mogelijkheid tot lokale technische ondersteuning, indien aangeboden door de partner.
Ondersteunt vergaderingen, berichten en telefoongesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het opzetten en beheren van klanten binnen een hybride databeveiligingssysteem met meerdere tenants.

Beperkingen van hybride gegevensbeveiliging voor meerdere tenants

Partnerorganisaties mogen geen actieve HDS-implementatie in Control Hub hebben.
Huurders of klantorganisaties die door een partner beheerd willen worden, mogen geen bestaande HDS-implementatie in Control Hub hebben.
Zodra Multi-Tenant HDS door de partner is geïmplementeerd, kunnen alle gebruikers van de klantorganisaties, evenals de gebruikers van de partnerorganisatie, Multi-Tenant HDS gebruiken voor hun encryptiediensten.

De partnerorganisatie en de klantorganisaties die zij beheren, zullen gebruikmaken van dezelfde Multi-Tenant HDS-implementatie.

De partnerorganisatie zal na de implementatie van Multi-Tenant HDS geen gebruik meer maken van cloud-KMS.
Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug te verplaatsen naar Cloud KMS.
Beheerdersrollen hebben bepaalde beperkingen; zie het onderstaande gedeelte voor meer informatie.

Rollen in hybride databeveiliging met meerdere tenants

Partner volledig beheerder - Kan de instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder - Kan instellingen beheren voor klanten die de beheerder heeft aangemaakt of die aan de gebruiker zijn toegewezen.
Volledig beheerder - Beheerder van de partnerorganisatie die gemachtigd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

Volledige Multi-Tenant HDS-configuratie en -beheer voor alle klantorganisaties - Partner met volledige beheerdersrechten en volledige beheerdersrechten vereist.
Beheer van toegewezen huurderorganisaties - Partnerbeheerder en volledige beheerdersrechten vereist.

Architectuur van het beveiligingsdomein

De Webex-cloudarchitectuur scheidt verschillende soorten diensten in afzonderlijke domeinen, of vertrouwensgebieden, zoals hieronder weergegeven.

Om Hybrid Data Security beter te begrijpen, kijken we eerst naar dit pure cloudscenario, waarbij Cisco alle functies in zijn cloudomgevingen aanbiedt. De identiteitsservice, de enige plek waar gebruikers direct gekoppeld kunnen worden aan hun persoonlijke gegevens zoals e-mailadres, is logisch en fysiek gescheiden van het beveiligingsdomein in datacenter B. Beide zijn op hun beurt weer gescheiden van het domein waar de versleutelde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker draait en zich heeft geauthenticeerd bij de identiteitsservice. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, vinden de volgende stappen plaats:

De klant legt een beveiligde verbinding met de sleutelbeheerservice (KMS) tot stand en vraagt vervolgens een sleutel aan om het bericht te versleutelen. De beveiligde verbinding maakt gebruik van ECDH en het KMS versleutelt de sleutel met een AES-256 hoofdsleutel.
Het bericht wordt versleuteld voordat het de client verlaat. De klant stuurt het naar de indexeringsservice, die versleutelde zoekindexen aanmaakt om toekomstige zoekopdrachten naar de inhoud te vergemakkelijken.
Het versleutelde bericht wordt naar de compliance-dienst gestuurd voor nalevingscontroles.
Het versleutelde bericht wordt opgeslagen in het opslagdomein.

Bij de implementatie van Hybrid Data Security worden de beveiligingsfuncties (KMS, indexering en compliance) verplaatst naar uw eigen datacenter. De overige clouddiensten waaruit Webex bestaat (waaronder identiteitsbeheer en contentopslag) blijven eigendom van Cisco.

Samenwerken met andere organisaties

Gebruikers binnen uw organisatie gebruiken de Webex-app mogelijk regelmatig om samen te werken met externe deelnemers van andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze door een van uw gebruikers is aangemaakt), stuurt uw KMS de sleutel via een met ECDH beveiligd kanaal naar de client. Als een andere organisatie echter de sleutel voor de ruimte bezit, stuurt uw KMS het verzoek via een apart ECDH-kanaal naar de Webex-cloud om de sleutel van de betreffende KMS op te halen, waarna de sleutel via het oorspronkelijke kanaal naar uw gebruiker wordt teruggestuurd.

De KMS-service die op organisatie A draait, valideert de verbindingen met KMS'en in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat voor gebruik met uw Multi-Tenant Hybrid Data Security-implementatie.

Verwachtingen voor de implementatie van hybride gegevensbeveiliging

Een hybride databeveiligingsimplementatie vereist een aanzienlijke inzet en bewustzijn van de risico's die gepaard gaan met het bezit van encryptiesleutels.

Om hybride gegevensbeveiliging te implementeren, moet u het volgende aanleveren:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang beschreven in Bereid uw omgeving voor.

Als u de configuratie-ISO die u voor Hybrid Data Security hebt gemaakt of de database die u hebt aangeleverd volledig kwijtraakt, gaan de sleutels verloren. Sleutelverlies voorkomt dat gebruikers de inhoud van de ruimte en andere versleutelde gegevens in de Webex-app kunnen decoderen. Als dit gebeurt, kunt u een nieuwe implementatie bouwen, maar dan is alleen de nieuwe inhoud zichtbaar. Om te voorkomen dat u de toegang tot uw gegevens verliest, moet u het volgende doen:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid op een snelle noodherstelprocedure in geval van een ramp, zoals een defecte databaseschijf of een datacentrumstoring.

Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug naar de cloud te verplaatsen.

Installatieproces op hoog niveau

Dit document beschrijft de configuratie en het beheer van een hybride databeveiligingsimplementatie voor meerdere tenants.

Hybride gegevensbeveiliging instellen— Dit omvat het voorbereiden van de benodigde infrastructuur en het installeren van de software voor hybride gegevensbeveiliging, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan het cluster en het beheren van hun klantsleutels (CMK's). Dit stelt alle gebruikers van uw klantorganisaties in staat om uw hybride databeveiligingscluster te gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in de volgende drie hoofdstukken uitgebreid behandeld.
Onderhoud uw Hybrid Data Security-implementatie—De Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan eerstelijns support bieden voor deze implementatie en indien nodig Cisco support inschakelen. In Partner Hub kunt u schermmeldingen gebruiken en e-mailwaarschuwingen instellen.
Begrijp veelvoorkomende waarschuwingen, stappen voor probleemoplossing en bekende problemen—Als u problemen ondervindt bij het implementeren of gebruiken van Hybrid Data Security, kunnen het laatste hoofdstuk van deze handleiding en de bijlage met bekende problemen u helpen het probleem te achterhalen en op te lossen.

Hybride implementatiemodel voor gegevensbeveiliging

Binnen uw bedrijfsdatacenter implementeert u Hybrid Data Security als één cluster van knooppunten op afzonderlijke virtuele hosts. De nodes communiceren met de Webex-cloud via beveiligde websockets en beveiligd HTTP.

Tijdens het installatieproces leveren we u het OVA-bestand waarmee u de virtuele appliance kunt instellen op de virtuele machines die u aanlevert. Met de HDS Setup Tool maak je een aangepast ISO-bestand voor de clusterconfiguratie aan, dat je vervolgens op elke node koppelt. Het Hybrid Data Security-cluster maakt gebruik van de door u geleverde Syslogd-server en een PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS Setup Tool.)

Hybride implementatiemodel voor gegevensbeveiliging

Het minimum aantal knooppunten dat je in een cluster kunt hebben, is twee. We raden minimaal drie per cluster aan. Het gebruik van meerdere knooppunten zorgt ervoor dat de dienstverlening niet wordt onderbroken tijdens een software-upgrade of andere onderhoudswerkzaamheden aan een knooppunt. (De Webex-cloud voert slechts één upgrade tegelijk uit op één knooppunt.)

Alle knooppunten in een cluster hebben toegang tot dezelfde sleuteldatastore en registreren hun activiteiten op dezelfde syslog-server. De knooppunten zelf zijn stateless en verwerken belangrijke verzoeken volgens een round-robin-principe, zoals aangegeven door de cloud.

Knooppunten worden actief zodra u ze registreert in Partner Hub. Om een individueel knooppunt buiten gebruik te stellen, kunt u het afmelden en later, indien nodig, opnieuw aanmelden.

Standby-datacenter voor noodherstel

Tijdens de implementatie richt u een beveiligd standby-datacenter in. In geval van een datacentrumramp kunt u uw implementatie handmatig overzetten naar het standby-datacentrum.

De databases van de actieve en standby-datacenters zijn met elkaar gesynchroniseerd, waardoor de tijd die nodig is om de failover uit te voeren tot een minimum wordt beperkt.

De actieve Hybrid Data Security-nodes moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Richt een standby-datacenter in voor noodherstel.

Volg de onderstaande stappen om het ISO-bestand van het standby-datacenter te configureren:

Voordat u begint

Het standby-datacenter moet een afspiegeling zijn van de productieomgeving met virtuele machines en een back-updatabase van PostgreSQL of Microsoft SQL Server. Als de productieomgeving bijvoorbeeld 3 VM's heeft waarop HDS-nodes draaien, dan moet de back-upomgeving ook 3 VM's hebben. (Zie Standby-datacenter voor noodherstel voor een overzicht van dit failover-model.)
Zorg ervoor dat de databasesynchronisatie tussen de databases van de actieve en passieve clusterknooppunten is ingeschakeld.

1	Start de HDS Setup-tool en volg de stappen die worden vermeld in Een configuratie-ISO maken voor de HDS-hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden uitgevoerd.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe om het knooppunt in de passieve modus te zetten. In deze modus wordt het knooppunt geregistreerd bij de organisatie en verbonden met de cloud, maar verwerkt het geen verkeer. `passiveMode: 'true'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk terug te vinden locatie op.
5	Maak een back-upkopie van het ISO-bestand op uw lokale systeem. Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken..
7	Klik op Instellingen bewerken >CD/DVD Schijf 1 en selecteer Datastore ISO-bestand. Zorg ervoor dat Connected en Connect at power on zijn aangevinkt, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het opstarten van de nodes.
8	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 15 minuten geen alarmen worden gegenereerd.
9	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslogs om te verifiëren dat de knooppunten in passieve modus staan. Je zou het bericht "KMS geconfigureerd in passieve modus" in de systeemlogboeken moeten kunnen zien.

De volgende stappen

Nadat je passiveMode in het ISO-bestand hebt geconfigureerd en het hebt opgeslagen, kun je een andere kopie van het ISO-bestand maken zonder de passiveMode -configuratie en deze op een veilige locatie opslaan. Deze kopie van het ISO-bestand zonder passiveMode kan helpen bij een snel failoverproces tijdens noodherstel. Zie Rampenherstel met behulp van Standby Data Center voor de gedetailleerde failoverprocedure.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy—De standaardinstelling als u de HDS-knooppuntconfiguratie Trust Store niet gebruikt. & Proxyconfiguratie voor het integreren van een proxy. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie—De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken en zouden geen wijzigingen nodig moeten hebben om met een proxy zonder inspectie te werken. Er is geen certificaat update vereist.
Transparante tunneling of inspectieproxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy—Met een expliciete proxy geeft u de HDS-nodes aan welke proxyserver en welk authenticatieschema ze moeten gebruiken. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Volmacht IP/FQDN—Adres waarmee de proxymachine kan worden bereikt.
2. Proxypoort—Een poortnummer dat de proxy gebruikt om te luisteren naar geproxyeerd verkeer.
3. Proxyprotocol—Afhankelijk van wat uw proxyserver ondersteunt, kunt u kiezen uit de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Authenticatietype—Kies uit de volgende authenticatietypen:
  - Geen—Verdere authenticatie is niet vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis—Wordt gebruikt door een HTTP-gebruikersagent om een gebruikersnaam en wachtwoord te verstrekken bij het doen van een verzoek. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Samenvatting—Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride gegevensbeveiliging in multi-tenantomgevingen

Cisco Webex-licentievereisten

Om hybride gegevensbeveiliging voor meerdere tenants te implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de Multi-Tenant-functie is ingeschakeld.
Huurdersorganisaties: Voor Cisco Webex Control Hub hebt u het Pro Pack nodig. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat je je HDS-nodes installeert, moet je Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

Klanten zonder een Docker Desktop-licentie kunnen een open-source containerbeheertool zoals Podman Desktop gebruiken om containers uit te voeren, te beheren en te creëren. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Certificaatvereisten X.509

De certificaatketen moet aan de volgende eisen voldoen:

Tabel 1. X.509-certificaatvereisten voor hybride implementatie van gegevensbeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA).	Standaard vertrouwen we de CA's in de Mozilla-lijst (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Beschikt over een Common Name (CN) domeinnaam die uw Hybrid Data Security-implementatie identificeert. Het is geen wildcardcertificaat.	Het CN hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die uw organisatie weerspiegelt, bijvoorbeeld `hds.company.com`. De CN mag geen * (jokerteken). De CN wordt gebruikt om de Hybrid Data Security-nodes te verifiëren voor Webex App-clients. Alle Hybrid Data Security-nodes in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met behulp van het CN-domein, niet met een domein dat is gedefinieerd in de x.509v3 SAN-velden. Nadat u een node met dit certificaat hebt geregistreerd, is het niet mogelijk om de CN-domeinnaam te wijzigen.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS-systemen van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS-bestand. #12 bestand Gebruik de gebruiksvriendelijke naam `kms-private-key` om het certificaat, de privésleutel en eventuele tussenliggende certificaten te taggen die u wilt uploaden.	Je kunt een converter zoals OpenSSL gebruiken om het formaat van je certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS Setup Tool uitvoert.
Ondersteund algoritme	Alleen RSA-certificaten worden ondersteund.

De KMS-software legt geen beperkingen op aan sleutelgebruik of uitgebreid sleutelgebruik. Sommige certificeringsinstanties vereisen dat er uitgebreidere gebruiksbeperkingen voor sleutels op elk certificaat van toepassing zijn, zoals serverauthenticatie. Het is prima om serverauthenticatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als Hybrid Data Security-nodes in uw cluster configureert, moeten aan de volgende vereisten voldoen:

Minimaal twee afzonderlijke hosts (3 aanbevolen) die zich in hetzelfde beveiligde datacenter bevinden.
VMware ESXi 7.0 of 8.0 is geïnstalleerd en actief.

Als u een oudere versie van ESXi gebruikt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB werkgeheugen en 30 GB lokale harde schijfruimte per server.

Vereisten voor de databaseserver

Maak een nieuwe database aan voor het opslaan van sleutels. Gebruik niet de standaarddatabase. De HDS-applicaties maken na installatie het databaseschema aan.

Er zijn twee opties voor de databaseserver. De vereisten voor elk zijn als volgt:

Tabel 2. Vereisten voor databaseservers per type database
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 of 18 moet geïnstalleerd en actief zijn.	SQL Server 2016, 2017, 2019 of 2022 (Enterprise of Standard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en Cumulative Update 2 of later.
Minimaal 8 vCPU's, 16 GB werkgeheugen, voldoende schijfruimte en monitoring om te voorkomen dat deze wordt overschreden (2 TB wordt aanbevolen als u de database langdurig wilt gebruiken zonder de opslagruimte te hoeven uitbreiden).	Minimaal 8 vCPU's, 16 GB werkgeheugen, voldoende schijfruimte en monitoring om te voorkomen dat deze wordt overschreden (2 TB wordt aanbevolen als u de database langdurig wilt gebruiken zonder de opslagruimte te hoeven uitbreiden).

De HDS-software installeert momenteel de volgende driverversies voor de communicatie met de databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-stuurprogramma 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze driverversie ondersteunt SQL Server Always On ( Always On Failover Cluster Instances en Always On availability groups).

Aanvullende vereisten voor Windows-authenticatie bij Microsoft SQL Server.

Als u wilt dat HDS-nodes Windows-authenticatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, dan hebt u de volgende configuratie in uw omgeving nodig:

De HDS-nodes, de Active Directory-infrastructuur en MS SQL Server moeten allemaal gesynchroniseerd zijn met NTP.
Het Windows-account dat u aan HDS-nodes verstrekt, moet beschikken over... read/write toegang tot de database.
De DNS-servers die u aan HDS-nodes verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het HDS-database-exemplaar op uw Microsoft SQL Server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een Service Principal Name registreren voor Kerberos-verbindingen.

De HDS-installatietool, de HDS-launcher en de lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de gegevens uit uw ISO-configuratie om de SPN samen te stellen bij het aanvragen van toegang met Kerberos-authenticatie.

Externe verbindingsvereisten

Configureer uw firewall om de volgende verbindingen voor de HDS-toepassingen toe te staan:

App	Protocol	Poort	Routebeschrijving vanuit de app	Bestemming
Hybride databeveiligingsknooppunten	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die worden vermeld voor Hybrid Data Security in de Aanvullende URL's voor Webex Hybrid Services tabel van Netwerkvereisten voor Webex Services
HDS-installatietool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De Hybrid Data Security-nodes werken met Network Access Translation (NAT) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen naar de domeinbestemmingen in de voorgaande tabel toestaat. Voor inkomende verbindingen naar de Hybrid Data Security-nodes mogen er geen poorten zichtbaar zijn vanaf het internet. Binnen uw datacenter hebben klanten voor administratieve doeleinden toegang nodig tot de Hybrid Data Security-nodes op TCP-poorten 443 en 22.

De URL's voor de Common Identity (CI)-hosts zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	Algemene identiteitshost-URL's
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxies die HTTPS-verkeer inspecteren, kunnen de totstandkoming van een websocketverbinding verstoren. (wss:) verbindingen. Om dit probleem te omzeilen, zie Squid-proxies configureren voor hybride gegevensbeveiliging.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, lost het omzeilen (niet inspecteren) van het verkeer naar wbx2.com en ciscospark.com het probleem op.

Voltooi de voorwaarden voor hybride gegevensbeveiliging.

Gebruik deze checklist om ervoor te zorgen dat u klaar bent om uw Hybrid Data Security-cluster te installeren en configureren.

1	Zorg ervoor dat HDS niet is ingeschakeld in Control Hub binnen uw organisatie en verkrijg de inloggegevens van een account met volledige beheerdersrechten voor partners en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor Pro Pack voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509 Certificate Requirements.
3	Maak identieke virtuele hosts aan die u als Hybrid Data Security-nodes in uw cluster gaat configureren. Je hebt minimaal twee aparte hosts nodig (3 aanbevolen) die zich in hetzelfde beveiligde datacenter bevinden en die voldoen aan de vereisten in Virtual Host Requirements.
4	Bereid de databaseserver voor die als belangrijkste gegevensopslag voor het cluster zal fungeren, volgens de vereisten voor de databaseserver. De databaseserver moet zich in hetzelfde beveiligde datacenter bevinden als de virtuele hosts. Maak een database aan voor het opslaan van sleutels. (U moet deze database zelf aanmaken; gebruik niet de standaarddatabase.) De HDS-applicaties maken na installatie het databaseschema aan. Verzamel de gegevens die de knooppunten zullen gebruiken om met de databaseserver te communiceren: de hostnaam of het IP-adres (host) en poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle privileges op de sleutelopslagdatabase
5	Voor snel herstel na een ramp kunt u een back-upomgeving in een ander datacenter inrichten. De back-upomgeving is een exacte kopie van de productieomgeving met virtuele machines en een back-updatabaseserver. Als de productieomgeving bijvoorbeeld 3 VM's heeft waarop HDS-nodes draaien, dan moet de back-upomgeving ook 3 VM's hebben.
6	Configureer een syslog-host om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Stel een veilig back-upbeleid in voor de Hybrid Data Security-nodes, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het configuratie-ISO-bestand dat is gegenereerd voor de Hybrid Data Security-nodes. Omdat de Hybrid Data Security-nodes de sleutels opslaan die worden gebruikt voor het versleutelen en ontsleutelen van inhoud, zal het niet in stand houden van een operationele implementatie leiden tot het ONHERSTELBARE VERLIES van die inhoud. Webex-appclients slaan hun sleutels in de cache op, waardoor een storing mogelijk niet direct merkbaar is, maar na verloop van tijd wel duidelijk zal worden. Hoewel tijdelijke storingen niet te voorkomen zijn, kunnen ze wel worden verholpen. Echter, bij volledig verlies (geen back-ups beschikbaar) van de database of het configuratie-ISO-bestand zullen de klantgegevens onherstelbaar verloren gaan. Van de beheerders van de Hybrid Data Security-nodes wordt verwacht dat zij regelmatig back-ups maken van de database en het configuratie-ISO-bestand, en dat zij voorbereid zijn om het Hybrid Data Security-datacenter opnieuw op te bouwen in geval van een catastrofale storing.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit toestaat voor uw Hybrid Data Security-nodes, zoals beschreven in Externe connectiviteitsvereisten.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bit, of Mac OSX Yosemite 10.10.3 of hoger) en een webbrowser die er toegang toe heeft via http://127.0.0.1:8080. Je gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren. Deze tool bouwt de lokale configuratiegegevens voor alle Hybrid Data Security-nodes. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Docker Desktop-vereisten voor meer informatie. Om de HDS Setup Tool te installeren en uit te voeren, moet de lokale machine beschikken over de connectiviteitsvereisten zoals beschreven in Externe connectiviteitsvereisten.
10	Als u een proxy integreert met Hybrid Data Security, zorg er dan voor dat deze voldoet aan de Proxy Server Requirements.

Een hybride gegevensbeveiligingscluster opzetten

Taakstroom voor de implementatie van hybride gegevensbeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download de installatiebestanden. Download het OVA-bestand naar uw lokale computer voor later gebruik.
2	Maak een configuratie-ISO voor de HDS-hosts. Gebruik de HDS Setup Tool om een ISO-configuratiebestand te maken voor de Hybrid Data Security-nodes.
3	Installeer de HDS Host OVA Maak een virtuele machine aan vanuit het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie om netwerkinstellingen te configureren tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	Configureer de Hybrid Data Security VM Meld u aan bij de VM-console en stel de aanmeldingsgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u dit niet hebt gedaan tijdens de OVA-implementatie.
5	Upload en koppel de HDS-configuratie-ISO. Configureer de VM met behulp van het ISO-configuratiebestand dat u met de HDS Setup Tool hebt gemaakt.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geef dan het type proxy op dat u voor het knooppunt wilt gebruiken en voeg het proxycertificaat indien nodig toe aan de vertrouwensarchief.
7	Registreer het eerste knooppunt in het cluster. Registreer de VM bij de Cisco Webex-cloud als een Hybrid Data Security-node.
8	Maak en registreer meer knooppunten. Voltooi de clusterconfiguratie.
9	Activeer Multi-Tenant HDS op Partner Hub. Activeer HDS en beheer tenantorganisaties via Partner Hub.

Voer de eerste installatie uit en download de installatiebestanden.

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u hebt ingesteld als Hybrid Data Security-nodes). Je gebruikt dit bestand later in het installatieproces.

1	Meld u aan bij Partner Hub en klik vervolgens op Services.
2	Zoek in het gedeelte Hybride de kaart Hybride gegevensbeveiliging en klik vervolgens op Instellen. Het klikken op Instellen in Partner Hub is cruciaal voor het implementatieproces. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een bron toevoegen en klik op .OVA-bestand downloaden op de kaart Software installeren en configureren. Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades van Hybrid Data Security. Dit kan problemen veroorzaken tijdens het upgraden van de applicatie. Zorg ervoor dat je de nieuwste versie van het OVA-bestand downloadt. Je kunt de OVA ook op elk gewenst moment downloaden via de Help sectie. Klik op Instellingen > Hulp > Download Hybrid Data Security-software. Het OVA-bestand wordt automatisch gedownload. Sla het bestand op een locatie op uw computer op.

Maak een configuratie-ISO voor de HDS-hosts.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten vere vereist.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1 tot en met 5 in de onderstaande procedure. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy zonder verificatie

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxy met verificatie

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxy met verificatie

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stable

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Ga met een webbrowser naar localhost, http://127.0.0.1:8080en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd.

De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.

7

Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.

8

Klik op de overzichtspagina van de installatietool op Aan de slag.

9

Op de pagina ISO Import heb je de volgende opties:

Nee—Als je je eerste HDS-node aanmaakt, heb je geen ISO-bestand om te uploaden.
Ja—Als je al HDS-nodes hebt aangemaakt, selecteer je je ISO-bestand in de bladerfunctie en upload je het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als je nog nooit eerder een certificaat hebt geüpload, upload dan het X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.
Als uw certificaat in orde is, klik dan op Doorgaan.
Als uw certificaat is verlopen of als u het wilt vervangen, selecteer dan Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van de vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account voor HDS in om toegang te krijgen tot uw belangrijkste gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u kiest voor Microsoft SQL Server, krijgt u een veld voor het authenticatietype.
(Alleen Microsoft SQL Server ) Selecteer uw authenticatietype:
- Basisverificatie: U moet een lokale SQL Server-accountnaam invullen in het veld Gebruikersnaam.
- Windows-verificatie: Je hebt een Windows-account nodig in het formaat username@DOMAIN in het veld Gebruikersnaam.
Voer het adres van de databaseserver in in de vorm : of :.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

Je kunt een IP-adres gebruiken voor basisauthenticatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de volgende indeling: dbhost.example.org:1433
Voer de databasenaamin.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle privileges op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
TLS prefereren (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS inschakelt op de databaseserver, proberen de knooppunten een versleutelde verbinding tot stand te brengen.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Database root certificate. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Database root certificate. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Database host en poort. De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het rootcertificaat uploadt (indien nodig) en op Doorgaanklikt, test de HDS Setup Tool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege connectiviteitsverschillen kunnen de HDS-nodes mogelijk wel een TLS-verbinding tot stand brengen, zelfs als de HDS Setup Tool-machine deze niet succesvol kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet via DNS kan worden opgelost vanaf de knooppunten van uw HDS-cluster, gebruik dan een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 Geeft aan dat er wordt gelogd naar Syslogd host 10.92.43.23 op UDP-poort 514.
Als u uw server hebt ingesteld voor TLS-versleuteling, controleer dan Is uw server geconfigureerd voor TLS-onderhandeling/handshake?.

Als u dit selectievakje aanvinkt, zorg er dan voor dat u een TCP-URL invoert, bijvoorbeeld tcp://10.92.43.23:514, en upload het syslog-rootcertificaat.
Selecteer in het vervolgkeuzemenu Kies de beëindiging van syslog-records de juiste instelling voor uw ISO-bestand: Choose of Newline wordt gebruikt voor Graylog en Rsyslog TCP.
- Null-byte -- \x00
- Nieuwe regel -- \n—Selecteer deze optie voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige databaseverbindingsparameters wijzigen in Geavanceerde instellingen. Over het algemeen is dit de enige parameter die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxSize: 10

15

Klik op Doorgaan op het scherm Wachtwoord serviceaccounts opnieuw instellen.

Serviceaccountwachtwoorden hebben een geldigheidsduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen zijn of wanneer u ze wilt resetten om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een gemakkelijk terug te vinden locatie op.

17

Maak een back-upkopie van het ISO-bestand op uw lokale systeem.

Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.

18

Om de Setup-tool af te sluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het configuratie-ISO-bestand. Je hebt het nodig om meer knooppunten voor herstel aan te maken, of om configuratiewijzigingen door te voeren. Als je alle kopieën van het ISO-bestand kwijtraakt, ben je ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels uit uw PostgreSQL- of Microsoft SQL Server-database te herstellen.

Wij hebben nooit een kopie van deze sleutel en kunnen u niet helpen als u hem kwijtraakt.

Installeer de HDS Host OVA

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om in te loggen op de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Selecteer een naam en map voert u een Virtuele machinenaam in voor het knooppunt (bijvoorbeeld "HDS_Node_1"), kiest u een locatie waar de implementatie van het virtuele machineknooppunt kan worden geplaatst en klikt u vervolgens op Volgende.
5	Op de pagina Selecteer een computerbron kiest u de gewenste computerbron en klikt u vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het proces is voltooid, verschijnen de sjabloongegevens.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u op de pagina Configuratie wordt gevraagd de resourceconfiguratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren ] op Volgende om het standaard schijfformaat en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie uit de lijst met vermeldingen om de gewenste verbinding met de VM tot stand te brengen.
10	Configureer op de pagina Sjabloon aanpassen de volgende netwerkinstellingen: Hostnaam—Voer de FQDN (hostnaam en domein) of een hostnaam van één woord in voor het knooppunt. U hoeft het domein niet gelijk te stellen aan het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Om een succesvolle registratie bij de cloud te garanderen, dient u in de FQDN of hostnaam die u voor het knooppunt instelt, uitsluitend kleine letters te gebruiken. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet meer dan 64 tekens bedragen. IP-adres— Voer het IP-adres in voor de interne interface van het knooppunt. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund. Masker—Voer het subnetmaskeradres in puntnotatie in. Bijvoorbeeld, 255.255.255.0. Gateway—Voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat fungeert als toegangspunt tot een ander netwerk. DNS-servers—Voer een door komma's gescheiden lijst in van DNS-servers die domeinnamen omzetten naar numerieke IP-adressen. (Maximaal 4 DNS-vermeldingen zijn toegestaan.) NTP-servers—Voer de NTP-server van uw organisatie in of een andere externe NTP-server die binnen uw organisatie gebruikt kan worden. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. Je kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Plaats alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster bereikbaar zijn vanaf clients in uw netwerk voor beheerdoeleinden. Indien gewenst kunt u de configuratie van de netwerkinstellingen overslaan en de stappen in De Hybrid Data Security VM instellen volgen om de instellingen via de nodeconsole te configureren. De optie om netwerkinstellingen te configureren tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op de VM van het knooppunt en kies vervolgens Energie > Inschakelen. De Hybrid Data Security-software is als gastbesturingssysteem geïnstalleerd op de VM-host. Je bent nu klaar om in te loggen op de console en het knooppunt te configureren. Tips voor probleemoplossing Het kan een paar minuten duren voordat de node-containers opstarten. Tijdens het eerste opstarten verschijnt er een firewallbericht op de console, waardoor u zich niet kunt aanmelden.

Configureer de Hybrid Data Security VM

Gebruik deze procedure om voor de eerste keer in te loggen op de VM-console van het Hybrid Data Security-knooppunt en de inloggegevens in te stellen. Je kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als je dat niet hebt gedaan tijdens de OVA-implementatie.

1	Selecteer in de VMware vSphere-client uw Hybrid Data Security-knooppunt-VM en selecteer het tabblad Console. De virtuele machine start op en er verschijnt een inlogscherm. Als het inlogscherm niet verschijnt, druk dan op Enter.
2	Gebruik de volgende standaard gebruikersnaam en het volgende wachtwoord om in te loggen en de inloggegevens te wijzigen: Login: `admin` Wachtwoord: `ciscosystems` Aangezien u voor het eerst inlogt op uw virtuele machine, moet u het beheerderswachtwoord wijzigen.
3	Als je de netwerkinstellingen al hebt geconfigureerd in Installeer de HDS Host OVA, sla dan de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken.
4	Stel een statische configuratie in met IP-adres, subnetmasker, gateway en DNS-gegevens. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig de hostnaam, het domein of de NTP-server(s) indien nodig om aan uw netwerkbeleid te voldoen. U hoeft het domein niet gelijk te stellen aan het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en herstart de virtuele machine zodat de wijzigingen van kracht worden.

Upload en koppel de HDS-configuratie-ISO.

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u met de HDS Setup Tool hebt gemaakt.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen toegankelijk zijn voor diegenen die er echt toe in staat zijn ("need to know"), namelijk voor de Hybrid Data Security VM's en beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen beheerders toegang hebben tot de datastore.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkernavigatievenster van de VMware vSphere-client op de ESXi-server.
Klik in de lijst Hardware op het tabblad Configuratie op Opslag.
Klik in de lijst met datastores met de rechtermuisknop op de datastore voor uw VM's en klik op Datastore doorbladeren.
Klik op het pictogram 'Bestand uploaden' en klik vervolgens op Bestand uploaden.
Navigeer naar de locatie op uw computer waar u het ISO-bestand hebt gedownload en klik op Openen.
Klik op Ja om te accepteren upload/download Er verschijnt een waarschuwing over de werking, waarna het dialoogvenster van de gegevensopslag wordt gesloten.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing over de beperkte bewerkingsopties te accepteren.
Klik op CD/DVD Drive 1, selecteer de optie om te koppelen vanaf een datastore ISO-bestand en blader naar de locatie waar u het configuratie-ISO-bestand hebt geüpload.
Controleer Verbonden en Verbinden bij inschakelen.
Sla je wijzigingen op en herstart de virtuele machine.

De volgende stappen

Indien uw IT-beleid dit vereist, kunt u het ISO-bestand optioneel ontkoppelen nadat al uw knooppunten de configuratiewijzigingen hebben overgenomen. Zie (Optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxy-ondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de URL voor de HDS-node-configuratie `https://[HDS Node IP or FQDN]/setup` in een webbrowser in, voer de beheerdersgegevens in die u voor de node hebt ingesteld en klik vervolgens op Aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy—De standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparante niet-inspecterende proxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken en zouden geen wijzigingen nodig moeten hebben om met een niet-inspecterende proxy te werken. Er is geen certificaat update vereist. Transparante inspectieproxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy—Met een expliciete proxy geeft u de client (HDS-nodes) aan welke proxyserver moet worden gebruikt. Deze optie ondersteunt verschillende authenticatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Volmacht IP/FQDN—Adres waarmee de proxymachine kan worden bereikt. Proxypoort—Een poortnummer dat de proxy gebruikt om te luisteren naar geproxyeerd verkeer. Proxyprotocol—Kies http (bekijkt en beheert alle verzoeken die van de client worden ontvangen) of https (biedt een kanaal naar de server en de client ontvangt en valideert het certificaat van de server). Kies een optie op basis van wat uw proxyserver ondersteunt. Authenticatietype—Kies uit de volgende authenticatietypen: Geen—Verdere authenticatie is niet vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis—Wordt gebruikt door een HTTP-gebruikersagent om een gebruikersnaam en wachtwoord te verstrekken bij het doen van een verzoek. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Samenvatting—Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, volg dan deze stappen en bekijk vervolgens Schakel de geblokkeerde externe DNS-resolutiemodus uit.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Registreer het eerste knooppunt in het cluster.

Deze taak neemt het generieke knooppunt dat u hebt gemaakt in De Hybrid Data Security VM instellen, registreert het knooppunt bij de Webex-cloud en maakt er een Hybrid Data Security-knooppunt van.

Wanneer u uw eerste knooppunt registreert, creëert u een cluster waaraan het knooppunt wordt toegewezen. Een cluster bevat een of meer knooppunten die zijn ingezet om redundantie te bieden.

Voordat u begint

Zodra je begint met de registratie van een node, moet je deze binnen 60 minuten voltooien, anders moet je opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u de kaart Hybride gegevensbeveiliging en klikt u op Instellen.
4	Klik op de pagina die wordt geopend op Een bron toevoegen.
5	Voer in het eerste veld van de kaart Een nieuw cluster aanmaken een naam in voor het cluster waaraan u uw Hybrid Data Security-node wilt toewijzen. We raden aan om een cluster te benoemen op basis van de geografische locatie van de knooppunten in het cluster. Voorbeelden: "San Francisco" of "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik onderaan het scherm op Toevoegen. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De Hybrid Data Security VM instellen. Er verschijnt een bericht waarin staat dat u uw node kunt registreren bij Webex.
7	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je Webex-organisatie toestemming wilt geven om toegang te krijgen tot je node.
8	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij de Webex-cloud.
9	Klik op de link of sluit het tabblad om terug te gaan naar de pagina Hybride gegevensbeveiliging van Partner Hub. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources. Het apparaat downloadt automatisch de nieuwste software vanuit de cloud.

Maak en registreer meer knooppunten.

Om extra knooppunten aan uw cluster toe te voegen, hoeft u alleen maar extra virtuele machines aan te maken, hetzelfde configuratie-ISO-bestand te koppelen en vervolgens het knooppunt te registreren. Wij raden aan om minimaal 3 nodes te hebben.

Voordat u begint

Zodra je begint met de registratie van een node, moet je deze binnen 60 minuten voltooien, anders moet je opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine aan vanuit de OVA, door de stappen in Installeer de HDS Host OVAte herhalen.
2	Stel de initiële configuratie in op de nieuwe VM door de stappen in De hybride databeveiligings-VM instellente herhalen.
3	Herhaal op de nieuwe VM de stappen in Upload en koppel de HDS-configuratie-ISO.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Configureer het HDS-knooppunt voor proxy-integratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. In https://admin.webex.com, selecteer Services in het menu aan de linkerkant van het scherm. In het gedeelte Hybride vindt u de kaart Hybride gegevensbeveiliging en klikt u op Alles bekijken. De pagina met bronnen voor hybride gegevensbeveiliging verschijnt. Het nieuw gecreëerde cluster verschijnt op de pagina Resources. Klik op het cluster om de aan het cluster toegewezen knooppunten te bekijken. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw node kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je organisatie toestemming wilt geven om toegang te krijgen tot je node. Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij de Webex-cloud. Klik op de link of sluit het tabblad om terug te gaan naar de pagina Hybride gegevensbeveiliging van Partner Hub. Knooppunt toegevoegd Er verschijnt ook een pop-upbericht onderaan het scherm in Partner Hub. Uw node is geregistreerd.

De volgende stappen

Om extra clusters te creëren, logt u in bij Partner Hub en klikt u op Services. > Hybride gegevensbeveiliging > Alles bekijken > Voeg een cluster toe. Volg de stappen die in het bovenstaande gedeelte worden beschreven om het eerste knooppunt aan de extra cluster(s) toe te voegen.

Beheer tenantorganisaties op een hybride databeveiligingsomgeving met meerdere tenants.

Activeer Multi-Tenant HDS op Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor on-premises encryptiesleutels en andere beveiligingsdiensten.

Voordat u begint

Zorg ervoor dat u de configuratie van uw Multi-Tenant HDS-cluster met het vereiste aantal knooppunten hebt voltooid.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellingen bewerken.
4	Klik op Activeer HDS op de HDS-status kaart.

Voeg huurdersorganisaties toe in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw hybride gegevensbeveiligingscluster.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Alles bekijken.
4	Ga naar het tabblad Toegewezen klanten. Het tabblad Toegewezen klanten wordt pas weergegeven nadat u een cluster hebt aangemaakt.
5	Klik op Klanten toevoegen.
6	Selecteer de klant die u wilt toevoegen in het keuzemenu.
7	Klik op Toevoegen, de klant wordt toegevoegd aan het cluster.
8	Herhaal stap 5 tot en met 7 om meerdere klanten aan uw cluster toe te voegen.
9	Klik op Klaar onderaan het scherm zodra je de klanten hebt toegevoegd. Toegevoegde klanten worden gesynchroniseerd over alle beschikbare clusters.

De volgende stappen

Voer de HDS Setup-tool uit zoals beschreven in Klanthoofdsleutels (CMK's) aanmaken met de HDS Setup-tool om het installatieproces te voltooien.

Maak klanthoofdsleutels (CMK's) aan met behulp van de HDS-configuratietool.

Voordat u begint

Wijs klanten toe zoals beschreven in Voeg tenantorganisaties toe in Partner Hub. Gebruik de HDS Setup-tool om het installatieproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Ga met een webbrowser naar localhost, `http://127.0.0.1:8080`en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd. De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.
7	Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.
8	Klik op de overzichtspagina van de installatietool op Aan de slag.
9	Klik op de pagina ISO Import op Ja.
10	Selecteer je ISO-bestand in de browser en upload het. Zorg voor een verbinding met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK Management, waar u de volgende drie manieren vindt om Tenant CMK's te beheren. CMK aanmaken voor alle organisaties of CMK aanmaken - Klik op deze knop in de banner bovenaan het scherm om CMK's aan te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik vervolgens op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op naast de status 'CMK-beheer in behandeling' van een specifieke organisatie in de tabel en klik vervolgens op CMK maken om een CMK voor die organisatie te maken.
12	Zodra de CMK-aanmaak succesvol is, verandert de status in de tabel van CMK-beheer in behandeling naar CMK beheerd.
13	Als het aanmaken van de CMK niet lukt, wordt er een foutmelding weergegeven.

Verwijder huurderorganisaties

Voordat u begint

Na verwijdering kunnen gebruikers van klantorganisaties HDS niet langer gebruiken voor hun encryptiebehoeften en verliezen ze alle bestaande opslagruimte. Voordat u klantorganisaties verwijdert, dient u contact op te nemen met uw Cisco-partner of accountmanager.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Alles bekijken.
4	Klik op de pagina die verschijnt op het tabblad Toegewezen klanten.
5	Klik in de lijst met weergegeven klantorganisaties op aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik vervolgens op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken zoals beschreven in CMK's intrekken van tenants die uit HDS zijn verwijderd.

Trek de CMK-licenties in van huurders die uit HDS zijn verwijderd.

Voordat u begint

Verwijder klanten zoals beschreven in Verwijder huurderorganisaties. Gebruik de HDS Setup-tool om het verwijderingsproces te voltooien voor de verwijderde klantorganisaties.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Ga met een webbrowser naar localhost, `http://127.0.0.1:8080`, en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd. De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.
7	Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.
8	Klik op de overzichtspagina van de installatietool op Aan de slag.
9	Klik op de pagina ISO Import op Ja.
10	Selecteer je ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK Management, waar u de volgende drie manieren vindt om Tenant CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle verwijderde organisaties in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik vervolgens op CMK's intrekken om de CMK's van alle verwijderde organisaties in te trekken. Klik op naast de status CMK die moet worden ingetrokken van een specifieke organisatie in de tabel en klik op CMK intrekken om de CMK voor die specifieke organisatie in te trekken.
12	Zodra de CMK-intrekking succesvol is, zal de klantorganisatie niet langer in de tabel verschijnen.
13	Als de intrekking van de CMK niet lukt, wordt er een foutmelding weergegeven.

Test uw implementatie van Hybrid Data Security.

Test uw hybride implementatie voor gegevensbeveiliging.

Gebruik deze procedure om scenario's voor encryptie van hybride gegevensbeveiliging in een multi-tenantomgeving te testen.

Voordat u begint

Configureer uw hybride databeveiligingsimplementatie voor meerdere tenants.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken worden doorgegeven aan uw Multi-Tenant Hybrid Data Security-implementatie.

1

De sleutels voor een bepaalde ruimte worden ingesteld door de maker van die ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte aan.

Als u de Hybrid Data Security-implementatie deactiveert, is de inhoud in ruimtes die gebruikers maken niet langer toegankelijk zodra de in de clientcache opgeslagen kopieën van de versleutelingssleutels zijn vervangen.

2

Stuur berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de belangrijkste verzoeken worden doorgegeven aan uw Hybrid Data Security-implementatie.

Als een gebruiker van een nieuw toegevoegde klantorganisatie een actie uitvoert, verschijnt de organisatie-ID van die organisatie in de logboeken. Deze ID kan worden gebruikt om te controleren of de organisatie gebruikmaakt van Multi-Tenant HDS. Controleer de waarde van kms.data.orgId in de syslogs.

Om te controleren of een gebruiker eerst een beveiligd kanaal naar de KMS tot stand brengt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION. :

Je zou een vermelding moeten vinden zoals de volgende (identificaties zijn ingekort voor de leesbaarheid):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een bestaande sleutel bij het KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY. :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een verzoek heeft ingediend voor het aanmaken van een nieuw KMS Resource Object (KRO) wanneer een ruimte of andere beveiligde resource wordt aangemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION. :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

HDS-logboeken interpreteren en agentlabels begrijpen

HDS-logboeken bevatten gedetailleerde informatie over KMS-verzoeken. Deze logbestanden bevatten diverse velden die helpen bij het identificeren van de aard van het verzoek en de bijbehorende identiteit. Inzicht in deze gebieden is essentieel voor een correcte interpretatie van activiteiten en betrouwbare interne processen.

Terminologie

Om duidelijkheid te garanderen bij het controleren van HDS-logboeken, is het belangrijk de volgende termen te begrijpen:

Term	Definitie
Serviceaccount	Een service-identiteit waarmee Webex-services geautoriseerde acties veilig kunnen uitvoeren.
Agent	Een service-entiteit of serviceaccount-identiteit die wordt gebruikt om geautomatiseerde bewerkingen uit te voeren binnen de HDS-omgeving.
Agentlabel	Een tag in HDS-logboeken die de specifieke bron en het type van een inkomend verzoek identificeert, waardoor effectieve toegangscontrole mogelijk is.
Gedelegeerde toegang	Een geautoriseerd serviceaccount dat een verzoek indient voor een specifieke gebruiker, binnen de machtigingen van die gebruiker. Verschijnt als een delegatieverzoek: `agent -> userid`.

De term "Agent" verwijst in deze context specifiek naar HDS-service-identiteiten. Deze functies hebben niets te maken met de AI-gestuurde agents die in andere Webex-functies worden gebruikt.

Een verzoek wordt alleen verwerkt wanneer het afkomstig is van:

een geauthenticeerde gebruiker binnen uw organisatie, of
een serviceaccount dat zich bevindt binnen uw organisatie en door uw organisatie is geautoriseerd.

Overzicht van logvelden

Veld	Wat het vertegenwoordigt
Tijdstempel	Datum en tijdstip van de operatie.
kms.data.method	De KMS-bewerking is uitgevoerd (bijv. ophalen).
kms.data.orgld	Organisatie-identificatie.
kms.data.httpUserAgent	De klant of dienst die het verzoek indient.
WEBEX_TRACKINGID	Unieke tracking-identificatiecode voor het verzoek.
kms.data.uriHost / kms.data.uri	De host en de bron waarop het verzoek betrekking heeft.
kms.data.userld	De identiteit die het verzoek uitvoert, inclusief een agentlabel.
kms.response.success	Geeft aan of het verzoek is geslaagd.

Soorten aanvragen - Snel naslagwerk

Tag in logboek	Agentlabel	Wat het vertegenwoordigt	Typische werkzaamheden
Gebruikerstype: userAgent	Gebruikersagent	Een vertrouwd serviceaccount gekoppeld aan een gebruikersworkflow, specifiek voor uw organisatie.	Creating/managing sleutels voor een gebruikersproces.
o-agent <id> -> gebruikers-ID <id>	Organisatieagent	Een vertrouwd serviceaccount op organisatieniveau dat gebruikmaakt van gedelegeerde toegang.	Extractie van Webex-gegevens door de compliance officer, integratie met agenda's.
c-agent <id> -> gebruikers-ID <id>	Cloud Agent	Een Webex-service die een gedelegeerd verzoek uitvoert voor een specifieke gebruiker.	Virusscan, inhoudsvoorbeeld, transcripties.
c-agent <id>	Cloud Agent	Een Webex-service die een gedelegeerd verzoek uitvoert.	ECDHE / sessiesleutels.
UUID van de eindgebruiker	-	De geauthenticeerde eindgebruiker die interactie heeft met HDS.	Een gebruiker die zijn eigen sleutel ophaalt.

Soorten aanvragen - In detail

Agentlabels categoriseren de bron van het verzoek en helpen bij het bepalen van de juiste toegangscontroles. De volgende voorbeelden illustreren verschillende soorten verzoeken en de bijbehorende agentlabels.

Gebruikersagent (gebruikersagent):

Dit zijn vertrouwde Webex-serviceaccounts die gekoppeld zijn aan specifieke gebruikersworkflows en die zijn afgestemd op de klantorganisatie. Ze worden doorgaans gebruikt wanneer een service sleutels aanmaakt en beheert namens een gebruikersworkflow.

Voorbeeldlogboek:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=
```
Kernindicator: Het voorbeeldlogboek toont een gebruikersagent (userAgent) die resourceverzamelingsbewerkingen uitvoert voor een Webex-service.
Organisatieagent (o-agent):

Deze vertrouwde Webex-serviceaccounts zijn gemachtigd om namens gebruikers binnen HDS gedelegeerde bewerkingen uit te voeren. Deze accounts zijn specifiek afgestemd op de klantorganisatie en voeren activiteiten uit op organisatieniveau. Deze functionaliteit ondersteunt diverse functies, zoals het stellen van compliance-medewerkers in staat om Webex-communicatiegegevens te doorzoeken en te extraheren, waardoor de organisatie voldoet aan de wettelijke, beveiligings- en privacyrichtlijnen.

Voorbeeldlogboek:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=
```
Kernindicator: Het voorbeeldlogboek laat zien dat een organisatieagent (o-agent 9[~]c) namens gebruiker (4[~]b) een sleutel ophaalt voor een Webex-service.
Cloud Agent (c-agent):
Deze vertrouwde Webex-serviceaccounts zijn gemachtigd om via gedelegeerde toegang namens een gebruiker bewerkingen uit te voeren op HDS. Ze ondersteunen essentiële functies, zoals opnames na vergaderingen, transcripties, antimalwarescans en bestandsvoorbeelden, die de algehele gebruikerservaring verbeteren.

Hoewel Cloud Agents kunnen worden uitgeschakeld door de ISO aan te passen, moeten klanten zich ervan bewust zijn dat dit zal leiden tot verlies van functionaliteiten, zoals opnames na vergaderingen, transcripties, bestandsvoorbeelden en geautomatiseerde antimalwarescans in Webex App Spaces. Voor meer informatie, zie het gedeelte Cloudagents uitschakelen.

Voorbeeldlogboek:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=
```
Kernindicator: Het voorbeeldlogboek laat zien dat een cloudagent (c-agent b[~]c) een inhoudssleutel ophaalt namens gebruiker (9[~]c).

Directe interactie met de eindgebruiker:

Een geauthenticeerde gebruiker die rechtstreeks met HDS communiceert.

Voorbeeldlogboek:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Kernindicator: Het voorbeeldlogboek laat zien dat een eindgebruiker (c[~]f) een sleutel ophaalt en rechtstreeks met HDS communiceert.

Monitor de status van de hybride gegevensbeveiliging

Een statusindicator in Partner Hub laat zien of alles naar behoren werkt met de Multi-Tenant Hybrid Data Security-implementatie. Voor meer proactieve waarschuwingen kunt u zich aanmelden voor e-mailnotificaties. U wordt op de hoogte gesteld wanneer er alarmen zijn die de dienstverlening beïnvloeden of wanneer er software-updates beschikbaar zijn.

1	In Partner Hub, selecteer Services in het menu aan de linkerkant van het scherm.
2	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellingen bewerken. De pagina 'Hybride gegevensbeveiligingsinstellingen' verschijnt.
3	Typ in het gedeelte 'E-mailmeldingen' een of meer e-mailadressen, gescheiden door komma's, en druk op Enter.

Beheer uw HDS-implementatie.

Beheer HDS-implementatie

Gebruik de hier beschreven taken om uw Hybrid Data Security-implementatie te beheren.

Clusterupgradeplanning instellen

Software-upgrades voor Hybrid Data Security worden automatisch op clusterniveau uitgevoerd, waardoor alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens het upgradeschema voor het cluster. Wanneer er een software-upgrade beschikbaar komt, hebt u de mogelijkheid om het cluster handmatig te upgraden vóór het geplande upgradetijdstip. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken. 3:00 AM Daily Verenigde Staten: America/Los Angeles. U kunt er ook voor kiezen om een geplande upgrade uit te stellen, indien nodig.

Om het upgradeschema in te stellen:

1	Meld u aan bij Partner Hub.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellen
4	Selecteer het cluster op de pagina Hybride gegevensbeveiligingsbronnen.
5	Klik op het tabblad Clusterinstellingen.
6	Selecteer op de pagina Clusterinstellingen, onder Upgradeplanning, de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone wordt de eerstvolgende beschikbare upgrade-datum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door te klikken op Uitstellen met 24 uur.

Wijzig de knooppuntconfiguratie

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset—Zowel het oude als het nieuwe wachtwoord blijven tot 10 dagen geldig. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset—De oude wachtwoorden werken direct niet meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten vereist.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1.a tot en met 1.e in de onderstaande procedure. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in 1.e. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor Partner Hub in en klik vervolgens op Accepteren om verder te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Om de Setup-tool af te sluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als u slechts één HDS-node hebt draaien, maak dan een nieuwe Hybrid Data Security- node VM aan en registreer deze met behulp van het nieuwe configuratie-ISO-bestand. Voor meer gedetailleerde instructies, zie Meer knooppunten aanmaken en registreren. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partner Hub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD Drive 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe configuratie-ISO-bestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het Hybrid Data Security-knooppunt (IP-adres). address/setup, Voer https://192.0.2.0/setup), bijvoorbeeld de beheerdersgegevens in die u voor het knooppunt hebt ingesteld en klik vervolgens opAanmelden .
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, is geblokkeerde externe DNS-resolutie ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een Hybrid Data Security-node uit de Webex-cloud te verwijderen. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om in te loggen op de ESXi virtuele host en de virtuele machine uit te schakelen.

2

Verwijder het knooppunt:

Meld u aan bij Partner Hub en selecteer vervolgens Services.
Klik op de kaart Hybride gegevensbeveiliging op Alles weergeven om de pagina met bronnen voor hybride gegevensbeveiliging weer te geven.
Selecteer uw cluster om het overzichtspaneel weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Deze node deactiveren in het paneel dat aan de rechterkant verschijnt.
Je kunt het knooppunt ook deactiveren door op de drie puntjes (...) rechts van het knooppunt te klikken en Knooppunt deactiverente selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkernavigatievenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als je de virtuele machine niet verwijdert, vergeet dan niet het configuratie-ISO-bestand te ontkoppelen. Zonder het ISO-bestand kunt u de virtuele machine niet gebruiken om toegang te krijgen tot uw beveiligingsgegevens.

Rampenherstel met behulp van een standby-datacenter

De belangrijkste dienst die uw Hybrid Data Security-cluster levert, is het aanmaken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die in de Webex-cloud is opgeslagen, te versleutelen. Voor elke gebruiker binnen de organisatie die is toegewezen aan Hybrid Data Security, worden nieuwe aanvragen voor het aanmaken van sleutels doorgestuurd naar het cluster. Het cluster is er ook verantwoordelijk voor dat de door het cluster aangemaakte sleutels worden teruggegeven aan alle gebruikers die gemachtigd zijn om ze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de cruciale functie vervult van het leveren van deze sleutels, is het van essentieel belang dat het cluster operationeel blijft en dat er adequate back-ups worden gemaakt. Verlies van de Hybrid Data Security-database of van het configuratie-ISO-bestand dat voor het schema wordt gebruikt, zal leiden tot ONHERSTELBAAR VERLIES van klantgegevens. De volgende procedures zijn verplicht om dergelijk verlies te voorkomen:

Als een calamiteit ervoor zorgt dat de HDS-implementatie in het primaire datacenter niet beschikbaar is, volg dan deze procedure om handmatig over te schakelen naar het standby-datacenter.

Voordat u begint

Gebruik het meest recente ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat voorheen actief was, om de hieronder beschreven failoverprocedure uit te voeren.

1	Start de HDS Setup-tool en volg de stappen die worden vermeld in Een configuratie-ISO maken voor de HDS-hosts.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe of verwijder de `passiveMode` configuratie om het knooppunt te activeren. Het knooppunt kan het verkeer verwerken zodra dit is geconfigureerd. `passiveMode: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk terug te vinden locatie op.
5	Maak een back-upkopie van het ISO-bestand op uw lokale systeem. Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken..
7	Klik op Instellingen bewerken >CD/DVD Schijf 1 en selecteer Datastore ISO-bestand. Zorg ervoor dat Connected en Connect at power on zijn aangevinkt, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het opstarten van de nodes.
8	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 15 minuten geen alarmen worden gegenereerd.
9	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslog-uitvoer om te verifiëren dat de knooppunten van het standby-datacenter niet in de passieve modus staan. De melding "KMS geconfigureerd in passieve modus" mag niet in de systeemlogboeken verschijnen.

De volgende stappen

Als het primaire datacenter na de failover weer actief wordt, zet u het standby-datacenter opnieuw in de passieve modus door de stappen te volgen die beschreven staan in Standby-datacenter instellen voor noodherstel.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie werkt met de ISO-chip gemonteerd. Sommige klanten geven er echter de voorkeur aan om ISO-bestanden niet continu gekoppeld te laten. Je kunt het ISO-bestand ontkoppelen nadat alle HDS-nodes de nieuwe configuratie hebben overgenomen.

Je gebruikt de ISO-bestanden nog steeds om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO aanmaakt of een ISO bijwerkt via de Setup Tool, moet u de bijgewerkte ISO op al uw HDS-nodes koppelen. Zodra al uw knooppunten de configuratiewijzigingen hebben overgenomen, kunt u de ISO met deze procedure weer ontkoppelen.

Voordat u begint

Upgrade al uw HDS-nodes naar versie 2025.06.02.6983 of later.

1	Schakel een van uw HDS-nodes uit.
2	Selecteer in de vCenter Server Appliance het HDS-knooppunt.
3	Kies Instellingen bewerken > CD/DVD schijf en vink Datastore ISO-bestanduit.
4	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 20 minuten geen alarmen worden gegenereerd.
5	Herhaal dit voor elk HDS-knooppunt.

Problemen met hybride gegevensbeveiliging oplossen

Waarschuwingen bekijken en problemen oplossen

Een hybride databeveiligingsimplementatie wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn, of als het cluster zo traag werkt dat aanvragen een time-out krijgen. Als gebruikers geen toegang hebben tot uw Hybrid Data Security-cluster, ondervinden ze de volgende symptomen:

Er kunnen geen nieuwe ruimtes worden aangemaakt (het is niet mogelijk om nieuwe sleutels aan te maken).
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers toegevoegd aan een ruimte (sleutels kunnen niet worden opgehaald)
- Bestaande gebruikers in een ruimte die een nieuwe client gebruiken (kunnen geen sleutels ophalen)
Bestaande gebruikers in een omgeving kunnen succesvol blijven werken zolang hun clients een cache met de encryptiesleutels hebben.

Het is belangrijk dat u uw Hybrid Data Security-cluster goed in de gaten houdt en eventuele waarschuwingen onmiddellijk afhandelt om serviceonderbrekingen te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van Hybrid Data Security, geeft Partner Hub waarschuwingen weer aan de organisatiebeheerder en verzendt het e-mails naar het geconfigureerde e-mailadres. De waarschuwingen hebben betrekking op veel voorkomende scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om ze op te lossen
Waarschuwing	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met de lokale database mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste serviceaccountgegevens zijn gebruikt in de nodeconfiguratie.
Fout bij toegang tot de cloudservice.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Externe verbindingsvereisten.
Registratie voor cloudservice verlengen.	De registratie voor clouddiensten is stopgezet. De verlenging van de registratie is in behandeling.
Het aantal aanmeldingen voor cloudservices is gedaald.	Registratie voor cloudservices beëindigd. De dienst wordt afgesloten.
De dienst is nog niet geactiveerd.	Activeer HDS in Partner Hub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde domein voor serviceactivering. De meest waarschijnlijke oorzaak is dat de CN van het certificaat recent is gewijzigd en nu verschilt van de CN die tijdens de initiële installatie is gebruikt.
Authenticatie voor cloudservices is mislukt.	Controleer of de inloggegevens van het serviceaccount correct zijn en mogelijk verlopen.
Het openen van het lokale sleutelarchiefbestand is mislukt.	Controleer de integriteit en juistheid van het wachtwoord in het lokale sleutelarchiefbestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Het lukt niet om statistieken te publiceren.	Controleer de toegang tot externe cloudservices via het lokale netwerk.
/media/configdrive/hds De map bestaat niet.	Controleer de ISO-mountconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om bij het opnieuw opstarten te worden aangekoppeld en of het aankoppelen succesvol verloopt.
De configuratie van de tenantorganisatie is niet voltooid voor de toegevoegde organisaties.	Voltooi de installatie door CMK's aan te maken voor de nieuw toegevoegde tenantorganisaties met behulp van de HDS Setup Tool.
De configuratie van de tenantorganisatie is niet voltooid voor de verwijderde organisaties.	Voltooi de installatie door de CMK's in te trekken van de tenantorganisaties die zijn verwijderd met behulp van de HDS Setup Tool.

Problemen met hybride gegevensbeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybrid Data Security.

1	Meld u aan bij Partner Hub.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Gebeurtenissen.
4	Bekijk de pagina met de gebeurtenisgeschiedenis op eventuele waarschuwingen en los de problemen op die u daar aantreft. Zie onderstaande afbeelding ter referentie.
5	Controleer de uitvoer van de syslog-server op activiteit van de Hybrid Data Security-implementatie. Filter op woorden zoals 'Waarschuwing' en 'Fout' om het oplossen van problemen te vergemakkelijken.
6	Neem contact op met Cisco-ondersteuning .

HDS-ontwikkelaars-API's

De HDS Developer API's bieden een manier om analyse- en monitoringgegevens op te halen en problemen met uw HDS-implementaties op te lossen via de Webex Developer Portal. De API's zijn beschikbaar op https://developer.webex.com/messaging/docs/api/v1/hds.

Overige opmerkingen

Bekende problemen met hybride gegevensbeveiliging

Als u al uw actieve Hybrid Data Security-clusters uitschakelt (door ze te verwijderen in Partner Hub of door alle knooppunten uit te schakelen), uw configuratie-ISO-bestand kwijtraakt of de toegang tot de keystore-database verliest, kunnen Webex App-gebruikers van klantorganisaties geen gebruik meer maken van ruimtes in hun Personenlijst die zijn aangemaakt met sleutels uit uw KMS. We hebben momenteel geen oplossing voor dit probleem en raden u dringend aan uw HDS-services niet uit te schakelen zodra deze actieve gebruikersaccounts verwerken.
Een klant die al een ECDH-verbinding met een KMS heeft, behoudt die verbinding gedurende een bepaalde periode (waarschijnlijk een uur).

Voer de HDS Setup-tool uit met Podman Desktop.

Podman is een gratis en open-source tool voor containerbeheer waarmee je containers kunt uitvoeren, beheren en creëren. Podman Desktop kan worden gedownload via https://podman-desktop.io/downloads.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Om er toegang toe te krijgen, download en voer Podman uit op die computer. Voor het installatieproces zijn de aanmeldgegevens van een Control Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

De volgende stappen

Volg de resterende stappen in Een configuratie-ISO maken voor de HDS-hosts of De knooppuntconfiguratie wijzigen om een ISO-configuratie te maken of te wijzigen.

Cloudagents uitschakelen

Cloud Agents (c-agent) zijn vertrouwde Webex-serviceaccounts die via gedelegeerde toegang namens een gebruiker bewerkingen uitvoeren op HDS om de algehele gebruikerservaring te verbeteren. Door cloudagents uit te schakelen, wordt voorkomen dat Webex-services toegang krijgen tot on-premises HDS-sleutels.

Het uitschakelen van cloudagents leidt tot het verlies van functies zoals opnames na vergaderingen, transcripties, bestandsvoorbeelden en automatische antimalwarescans in Webex App Spaces.

Volg de onderstaande stappen om cloudagents voor uw HDS-implementatie uit te schakelen.

1	Start de HDS Setup-tool en volg de stappen die worden vermeld in Een configuratie-ISO maken voor de HDS-hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden uitgevoerd.
2	Nadat je de Syslogd-server hebt geconfigureerd, klik je op Geavanceerde instellingen.
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe om cloudagents uit te schakelen. Dit zorgt ervoor dat cloudagents geen HDS-verkeer kunnen verwerken. `cloudAgentUpdateEnabled: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk terug te vinden locatie op.
5	Maak een back-upkopie van het ISO-bestand op uw lokale systeem. Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken..
7	Klik op Instellingen bewerken >CD/DVD Schijf 1 en selecteer Datastore ISO-bestand. Zorg ervoor dat Connected en Connect at power on zijn aangevinkt, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het opstarten van de nodes.
8	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 15 minuten geen alarmen worden gegenereerd.
9	Herhaal dit proces voor elk knooppunt in uw HDS-implementatie. Controleer of de cloudagents zijn uitgeschakeld door in de systeemlogboeken te zoeken naar de volgende vermelding: 'Cloud Agent-update uitgeschakeld'.

Verplaats de bestaande HDS-implementatie voor één tenant van een partnerorganisatie in Control Hub naar een HDS-configuratie voor meerdere tenants in Partner Hub.

De conversie van een bestaande HDS-implementatie met één tenant van een partnerorganisatie, beheerd in Control Hub, naar een HDS-implementatie met meerdere tenants, beheerd in Partner Hub, omvat hoofdzakelijk het deactiveren van de HDS-service in Control Hub, het uitschrijven van knooppunten en het verwijderen van het cluster. Vervolgens kunt u inloggen op Partner Hub, de knooppunten registreren, Multi-Tenant HDS activeren en klanten aan uw cluster toevoegen.

De term "single-tenant" verwijst simpelweg naar een bestaande HDS-implementatie in Control Hub.

Deactiveer HDS, meld knooppunten af en verwijder alle clusters in Control Hub.

1	Meld u aan bij Control Hub. Klik in het linkerpaneel op Hybride. Klik op de Hybrid Data Security-kaart op Instellingen bewerken.
2	Ga op de instellingenpagina naar beneden naar het gedeelte 'Deactiveren' en klik op Deactiveren.
3	Klik na de deactivering op het tabblad Resources.
4	Op de pagina Resources worden de clusters in uw HDS-implementatie weergegeven. Klik op een cluster; er wordt een pagina geopend met alle knooppunten binnen dat cluster.
5	Klik op aan de rechterkant en klik op Knooppunt deregistreren. Herhaal dit proces voor alle knooppunten in het cluster.
6	Als uw implementatie meerdere clusters bevat, herhaal dan stap 4 en stap 5 totdat alle knooppunten zijn afgemeld.
7	Klik op Clusterinstellingen > Verwijderen.
8	Klik op Verwijdering bevestigen om het cluster te deactiveren.
9	Herhaal dit proces voor alle clusters in uw HDS-implementatie. Na de deactivering van HDS, het uitschrijven van knooppunten en het verwijderen van clusters, wordt onderaan de Hybrid Data Service-kaart in Control Hub Setup not completed weergegeven.

Activeer Multi-Tenant HDS voor de partnerorganisatie in Partner Hub en voeg klanten toe.

Voordat u begint

Alle voorwaarden die worden vermeld in Vereisten voor hybride gegevensbeveiliging met meerdere tenants zijn hier van toepassing. Zorg er bovendien voor dat dezelfde database en certificaten worden gebruikt tijdens de migratie naar Multi-Tenant HDS.

1	Log in bij Partner Hub. Klik op Services in het linkerpaneel. Gebruik dezelfde ISO-image als bij uw vorige HDS-implementatie om de knooppunten te configureren. Dit zorgt ervoor dat berichten en content die door gebruikers in de vorige HDS-implementatie zijn gegenereerd, nog steeds toegankelijk zijn in de nieuwe multi-tenantomgeving.
2	In het gedeelte Hybride vindt u de kaart Hybride gegevensbeveiliging en klikt u op Instellen.
3	Klik op de pagina die wordt geopend op Een bron toevoegen.
4	Voer in het eerste veld van de kaart Een cluster maken een naam in voor het cluster waaraan u uw Hybrid Data Security-node wilt toewijzen. We raden aan om een cluster te benoemen op basis van de geografische locatie van de knooppunten in het cluster. Voorbeelden: "San Francisco" of "New York" of "Dallas"
5	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik onderaan het scherm op Toevoegen. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De Hybrid Data Security VM instellen. Er verschijnt een bericht waarin staat dat u uw node kunt registreren bij Webex.
6	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je Webex-organisatie toestemming wilt geven om toegang te krijgen tot je node.
7	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij Webex Cloud. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources. Het apparaat downloadt automatisch de nieuwste software vanuit de cloud.
8	Ga naar het tabblad Instellingen en klik op Activeren op de HDS-statuskaart. Geactiveerde HDS bericht verschijnt onderaan het scherm.
9	Klik op het tabblad Toegewezen klanten.
10	Klik op Klanten toevoegen.
11	Selecteer de klant die u wilt toevoegen in het keuzemenu.
12	Klik op Toevoegen, de klant wordt toegevoegd aan het cluster.
13	Herhaal stap 11 tot en met 13 om meerdere klanten aan uw cluster toe te voegen.
14	Klik op Klaar onderaan het scherm zodra je de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS Setup-tool uit zoals beschreven in Klanthoofdsleutels (CMK's) aanmaken met de HDS Setup-tool om het installatieproces te voltooien.

Gebruik OpenSSL om een PKCS12-bestand te genereren.

Voordat u begint

OpenSSL is een van de tools die gebruikt kan worden om het PKCS12-bestand in het juiste formaat te brengen voor het laden in de HDS Setup Tool. Er zijn andere manieren om dit te doen, en wij ondersteunen of promoten geen enkele methode boven een andere.
Als u ervoor kiest om OpenSSL te gebruiken, bieden we deze procedure aan als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Zorg dat u deze vereisten begrijpt voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel aan.
Start deze procedure zodra u het servercertificaat van uw certificeringsinstantie (CA) ontvangt.

1	Wanneer je het servercertificaat van je CA ontvangt, sla het dan op als `hdsnode.pem`.
2	Toon het certificaat als tekst en controleer de gegevens. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een teksteditor om een certificaatbundelbestand te maken met de naam `hdsnode-bundle.pem`. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de root-CA-certificaten bevatten, in het onderstaande formaat: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand aan met de gebruiksvriendelijke naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te versleutelen, zodat deze in de uitvoer wordt weergegeven. Controleer vervolgens of de privésleutel en het eerste certificaat de regels `friendlyName: kms-private-key`bevatten. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Terug naar Voltooi de voorwaarden voor hybride gegevensbeveiliging. Je gebruikt het hdsnode.p12 bestand en het wachtwoord dat je ervoor hebt ingesteld in Een configuratie-ISO maken voor de HDS-hosts.

Je kunt deze bestanden hergebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-nodes en de cloud.

Uitgaande gegevensverzameling Verkeer

De Hybrid Data Security-nodes sturen bepaalde meetgegevens naar de Webex-cloud. Deze omvatten systeemstatistieken voor maximale heapgrootte, gebruikte heap, CPU-belasting en aantal threads; statistieken over synchrone en asynchrone threads; statistieken over waarschuwingen met betrekking tot een drempelwaarde voor versleutelde verbindingen, latentie of de lengte van de aanvraagwachtrij; statistieken over de datastore; en statistieken over versleutelde verbindingen. De knooppunten versturen versleuteld sleutelmateriaal via een extern kanaal (los van het verzoek).

Inkomend verkeer

De Hybrid Data Security-nodes ontvangen de volgende soorten inkomend verkeer vanuit de Webex-cloud:

Versleutelingsverzoeken van clients, die worden doorgestuurd door de versleutelingsservice.
Upgrades van de node-software

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxies die HTTPS-verkeer inspecteren, kunnen de totstandkoming van websocket-verbindingen (wss:) verstoren die Hybrid Data Security vereist. Deze secties geven richtlijnen voor het configureren van verschillende versies van Squid om wss: -verkeer te negeren voor een correcte werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol -richtlijn toe aan squid.conf:

on_unsupported_protocol tunnel all

Inktvis 3.5.27

We hebben Hybrid Data Security succesvol getest met de volgende regels toegevoegd aan squid.conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nieuwe en gewijzigde informatie

Deze tabel behandelt nieuwe functies of functies, wijzigingen in bestaande inhoud en alle belangrijke fouten die zijn opgelost in de Deployment Guide for Multi-Tenant Hybrid Data Security.

Datum	Aangebrachte wijzigingen
1 oktober 2026	Sectie Migrate HDS nodes tussen ondersteunde hypervisors toegevoegd.
21 september 2026	Ondersteuning toegevoegd voor Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) hypervisor in Virtual Host Requirements. Ondersteuning toegevoegd voor de Nutanix-hypervisor in Virtual Host Requirements. Sectie HDS implementeren en configureren op NFVIS toegevoegd. Sectie HDS implementeren en configureren op Nutanix toegevoegd. De procedures in de hele gids zijn bijgewerkt met instructies voor de implementatie van NFVIS en Nutanix. De sectie Standby Data Center for Disaster Recovery is verplaatst onder Beheer uw HDS-implementatie.
31 augustus 2026	De vereiste voor het inschakelen van functies voor meerdere huurders is verwijderd uit de sectie Cisco WebexLicentievereisten.
28 augustus 2026	Een kritieke waarschuwing toegevoegd in Expectations for Deploying Hybrid Data Security dat de migratie van hybride gegevensbeveiliging met meerdere huurders naar Webex cloud KMS niet wordt ondersteund en dat de ontmanteling van HDS zal resulteren in het verlies van toegang tot bestaande versleutelde gegevens.
30 juli 2026	De sectie X.509-certificaatvereisten is bijgewerkt om te specificeren dat alleen RSA-certificaten worden ondersteund.
2 juli 2026	Sectie Cloud Agents uitschakelen toegevoegd.
23 juni 2026	Sectie Interpreteren van HDS-logboeken en Understanding Agent Labels toegevoegd.
1 juni 2026	Sectie HDS Developer API's toegevoegd. Een opmerking toegevoegd om de HDS Setup tool uit te voeren via de sectie Podman Desktop.
16 april 2026	Bijgewerkte vereisten voor de databaseserver om ondersteuning toe te voegen voor PostgreSQL versies 17 en 18.
25 maart 2026	Het standaardwachtwoord dat werd gebruikt om in te loggen op de VM van het Hybrid Data Security-knooppunt is bijgewerkt.
5 december 2025	Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts met de juiste UI-tekst op de pagina Systeemlogboeken en een instructie toegevoegd om het syslog-basiscertificaat te uploaden bij de configuratie van TLS-versleuteling.
21 november 2025	Sectie met veelgestelde vragen toegevoegd. Instellen van een standby-datacenter voor noodherstel en noodherstel toegevoegd met behulp van de secties Standby Data Center. Verwijderd (bèta) uit de titel van de implementatiegids.
8 mei 2025	Toegevoegd: Verplaats de bestaande HDS-implementatie met één tenant van een partnerorganisatie in de Control Hub naar een HDS-configuratie met meerdere huurders in de sectie Partner Hub. De syslog-uitvoer is bijgewerkt om de leesbaarheid te verbeteren in de sectie Test Your Hybrid Data Security Deployment. Bijgewerkte vereisten voor virtuele hosts, taakstroom voor de implementatie van hybride gegevensbeveiliging en installatie van de HDS Host OVA om ESXi 8.0-ondersteuning toe te voegen.
4 maart 2025	Run HDS Setup tool toegevoegd met behulp van de Podman Desktop-sectie. Een opmerking toegevoegd in Docker Desktop Requirements waarin klanten een alternatieve opensource-optie krijgen. Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts en wijzig de node-configuratie met instructies om Podman Desktop te gebruiken voor klanten zonder een Docker Desktop-licentie.
30 januari 2025	SQL server versie 2022 toegevoegd aan de lijst met ondersteunde SQL-servers in de vereisten voor de databaseserver.
15 januari 2025	Beperkingen van hybride gegevensbeveiliging voor meerdere huurders toegevoegd.
8 januari 2025	Een opmerking toegevoegd in Voer de eerste installatie uit en download de installatiebestanden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap in het installatieproces is.
7 januari 2025	Bijgewerkte vereisten voor virtuele hosts, taakstroom voor de implementatie van hybride gegevensbeveiliging en installatie van de HDS Host OVA om te voldoen aan de nieuwe vereisten van ESXi 7.0.
13 december 2024	Voor het eerst gepubliceerd.

Ga aan de slag met hybride gegevensbeveiliging voor meerdere huurders

Overzicht van hybride gegevensbeveiliging voor meerdere huurders

Vanaf de eerste dag was gegevensbeveiliging de belangrijkste focus bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is de versleuteling van inhoud van begin tot eind, mogelijk gemaakt door klanten van de Webex App die communiceren met de Key Management Service (KMS). Het KMS is verantwoordelijk voor het aanmaken en beheren van de cryptografische sleutels die klanten gebruiken om berichten en bestanden dynamisch te versleutelen en te ontsleutelen.

Alle klanten van de Webex App krijgen standaard end-to-end encryptie met dynamische sleutels die zijn opgeslagen in het KMS in de cloud, in de beveiligingswereld van Cisco. Hybrid Data Security verplaatst het KMS en andere beveiligingsgerelateerde functies naar het datacenter van uw bedrijf, zodat alleen u de sleutels van uw versleutelde inhoud in handen heeft.

Hybrid Data Security met meerdere huurders stelt organisaties in staat gebruik te maken van HDS via een vertrouwde lokale partner, die als dienstverlener kan optreden en versleuteling en andere beveiligingsdiensten op locatie kan beheren. Deze configuratie geeft de partnerorganisatie volledige controle over de implementatie en het beheer van coderingssleutels en zorgt ervoor dat gebruikersgegevens van klantorganisaties worden beschermd tegen externe toegang. Partnerorganisaties zetten HDS-instanties op en creëren zo nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een gewone HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties controle hebben over de implementatie en het beheer, hebben ze geen toegang tot gegevens en inhoud die door klanten worden gegenereerd. Deze toegang is beperkt tot klantenorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook gebruikmaken van HDS, aangezien de sleutelbeheerdiensten en beveiligingsinfrastructuur, zoals datacenters, eigendom zijn van de vertrouwde lokale partner.

Hoe hybride gegevensbeveiliging met meerdere huurders zorgt voor gegevenssoevereiniteit en gegevenscontrole

Door gebruikers gegenereerde inhoud is beschermd tegen externe toegang, zoals aanbieders van clouddiensten.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een vaste relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het opzetten en beheren van klanten in het kader van een hybride gegevensbeveiligingssysteem voor meerdere huurders.

Beperkingen van hybride gegevensbeveiliging voor meerdere huurders

Partnerorganisaties mogen geen bestaande HDS-implementatie actief hebben in Control Hub.
Organisaties van huurders of klanten die beheerd willen worden door een partner, mogen geen bestaande HDS-implementatie hebben in Control Hub.
Zodra Multi-Tenant HDS door de partner is geïmplementeerd, beginnen alle gebruikers van klantorganisaties en gebruikers van de partnerorganisatie Multi-Tenant HDS te gebruiken voor hun coderingsdiensten.

De partnerorganisatie en klantenorganisaties die zij beheren, zullen gebruikmaken van dezelfde Multi-Tenant HDS-implementatie.

De partnerorganisatie zal geen gebruik meer maken van KMS in de cloud nadat Multi-Tenant HDS is geïmplementeerd.
Er is geen mechanisme om sleutels terug te verplaatsen naar Cloud KMS na een HDS-implementatie.
Beheerdersrollen hebben bepaalde beperkingen; zie het gedeelte hieronder voor meer informatie.

Rollen op het gebied van hybride gegevensbeveiliging met meerdere huurders

Partner, volledige beheerder - Kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die beheerd moeten worden door partnerbeheerders.
Partnerbeheerder - Kan instellingen beheren voor klanten die de beheerder heeft ingesteld of die aan de gebruiker zijn toegewezen.
Volledig beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren, zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end Multi-Tenant HDS-installatie en beheer van alle klantenorganisaties - Volledige beheerdersrechten van de partner en volledige beheerdersrechten vereist.
Beheer van toegewezen huurdersorganisaties - Partnerbeheerder en volledige beheerdersrechten vereist.

Architectuur van Security Realm

De Webex-cloudarchitectuur verdeelt verschillende soorten diensten in afzonderlijke domeinen, of vertrouwensdomeinen, zoals hieronder wordt weergegeven.

***Realms of Separation (zonder hybride gegevensbeveiliging)***

Laten we, om meer inzicht te krijgen in hybride gegevensbeveiliging, eerst eens kijken naar deze pure cloudbehuizing, waarin Cisco alle functies op het gebied van de cloud levert. De identiteitsdienst, de enige plaats waar gebruikers rechtstreeks in verband kunnen worden gebracht met hun persoonlijke informatie, zoals hun e-mailadres, is logisch en fysiek gescheiden van de beveiligingswereld in datacenter B. Beide zijn op hun beurt gescheiden van de ruimte waar uiteindelijk versleutelde inhoud wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die draait op de laptop van een gebruiker en die is geverifieerd bij de identiteitsdienst. Wanneer de gebruiker een bericht opstelt om naar een ruimte te sturen, vinden de volgende stappen plaats:

De klant brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens om een sleutel om het bericht te versleutelen. De beveiligde verbinding maakt gebruik van ECDH en het KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt versleuteld voordat het de klant verlaat. De klant stuurt het naar de indexeringsdienst, die gecodeerde zoekindexen aanmaakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsdienst gestuurd voor nalevingscontroles.
Het versleutelde bericht wordt opgeslagen in de opslagruimte.

Wanneer u Hybrid Data Security implementeert, verplaatst u de beveiligingsfuncties (KMS, indexering en compliance) naar uw datacenter op locatie. De andere clouddiensten die deel uitmaken van Webex (waaronder identiteits- en inhoudsopslag) blijven eigendom van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen de Webex App regelmatig gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze door een van uw gebruikers is aangemaakt), stuurt uw KMS de sleutel naar de klant via een door het ECDH beveiligd kanaal. Maar als een andere organisatie eigenaar is van de sleutel voor de ruimte, stuurt uw KMS de aanvraag naar de Webex-cloud via een apart ECDH-kanaal om de sleutel van het juiste KMS op te halen, en stuurt de sleutel vervolgens terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die draait op organisatie A valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Preparate your Environment voor informatie over het genereren van een x.509-certificaat voor gebruik bij uw Multi-Tenant Hybrid Data Security-implementatie.

Verwachtingen voor de implementatie van hybride gegevensbeveiliging

Een implementatie van hybride gegevensbeveiliging vereist aanzienlijke betrokkenheid en een besef van de risico's die gepaard gaan met het bezit van coderingssleutels.

Om Hybrid Data Security in te zetten, moet u zorgen voor:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teamsabonnementen.
De apparatuur, software en netwerktoegang worden beschreven in Bereid uw omgeving voor.

Het volledige verlies van ofwel de configuratie-ISO die u voor Hybrid Data Security maakt, ofwel de database die u verstrekt, zal resulteren in het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere versleutelde gegevens in de Webex-app kunnen ontsleutelen. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar alleen nieuwe inhoud is zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de ISO-configuratie.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een defecte databaseschijf of een ramp in het datacenter.

Migratie van Multi-Tenant Hybrid Data Security (HDS) naar Webex Cloud KMS wordt niet ondersteund. De ontmanteling van HDS zal resulteren in het verlies van toegang tot inhoud en gegevens die eerder met die sleutels waren versleuteld. U moet HDS behouden om de toegang tot bestaande versleutelde inhoud te behouden.

Installatieproces op hoog niveau

Dit document behandelt de installatie en het beheer van een implementatie voor hybride gegevensbeveiliging met meerdere huurders:

Hybrid Data Security instellen — Dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van Hybrid Data Security-software, het bouwen van een HDS-cluster, het toevoegen van huurdersorganisaties aan het cluster en het beheren van hun Customer Main Keys (CMK's). Zo kunnen alle gebruikers van uw klantenorganisaties uw Hybrid Data Security-cluster gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Behoud uw implementatie van hybride gegevensbeveiliging. De Webex-cloud zorgt automatisch voor doorlopende upgrades. Uw IT-afdeling kan eersteklas ondersteuning bieden voor deze implementatie en indien nodig Cisco-ondersteuning inschakelen. U kunt meldingen op het scherm gebruiken en meldingen via e-mail instellen in Partner Hub.
Begrijp veelvoorkomende waarschuwingen, stappen voor probleemoplossing en bekende problemen. Als u problemen ondervindt bij de implementatie of het gebruik van Hybrid Data Security, kunnen het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen het probleem vast te stellen en op te lossen.

Implementatiemodel voor hybride gegevensbeveiliging

In het datacenter van uw onderneming implementeert u Hybrid Data Security als één cluster van knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces geven we u het OVA-bestand om het virtuele apparaat in te stellen op de VM's die u ter beschikking stelt. U gebruikt de HDS Setup Tool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het Hybrid Data Security-cluster maakt gebruik van de door u geleverde Syslogd-server en de PostgreSQL- of Microsoft SQL Server-database. (U configureert de gegevens van de syslogd en de databaseverbinding in de HDS Setup Tool.)

Implementatiemodel voor hybride gegevensbeveiliging

Het minimumaantal knooppunten dat u in een cluster kunt hebben is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere nodes zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een node. (De Webex-cloud upgradet slechts één node tegelijk.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke datastore en registreren de activiteiten op dezelfde syslogserver. De knooppunten zelf zijn staatloos en behandelen belangrijke verzoeken op een round-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in de Partner Hub. Om een individueel knooppunt buiten gebruik te stellen, kunt u het deregistreren en later opnieuw registreren, indien nodig.

Proxy-ondersteuning

Hybrid Data Security ondersteunt expliciete, transparante inspecterende en niet-inspecterende proxy's. U kunt deze proxy's koppelen aan uw implementatie, zodat u het verkeer van de onderneming naar de cloud kunt beveiligen en controleren. U kunt een beheerinterface van het platform op de nodes gebruiken voor certificaatbeheer en om de algemene connectiviteitsstatus te controleren nadat u de proxy op de nodes hebt ingesteld.

De Hybrid Data Security-knooppunten ondersteunen de volgende proxy-opties:

Geen proxy — De standaardinstelling als u de Trust Store & Proxy-configuratie van de HDS-node niet gebruikt om een proxy te integreren. Er is geen update van het certificaat vereist.
Transparante proxy die niet inspecteert. De knooppunten zijn niet geconfigureerd om een specifiek adres van de proxyserver te gebruiken en zouden geen wijzigingen moeten ondergaan om te kunnen werken met een proxy die niet inspecteert. Er is geen update van het certificaat vereist.
Transparante tunneling of inspectie van de proxy. De knooppunten zijn niet geconfigureerd om een specifiek adres van de proxyserver te gebruiken. Er zijn geen wijzigingen in de HTTP- of HTTPS-configuratie nodig op de nodes. De knooppunten hebben echter een basiscertificaat nodig om de proxy te kunnen vertrouwen. Inspectieproxy's worden doorgaans door IT gebruikt om het beleid af te dwingen over welke websites kunnen worden bezocht en welke soorten inhoud niet zijn toegestaan. Dit type proxy decodeert al uw verkeer (zelfs HTTPS).
Expliciete proxy — Met een expliciete proxy vertelt u de HDS-nodes welke proxyserver en welk authenticatieschema ze moeten gebruiken. Om een expliciete proxy te configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy IP/FQDN — Adres dat kan worden gebruikt om de proxymachine te bereiken.
2. Proxypoort — Een poortnummer dat de proxy gebruikt om naar proxyverkeer te luisteren.
3. Proxy-protocol — Afhankelijk van wat uw proxyserver ondersteunt, kunt u kiezen uit de volgende protocollen:
  - HTTP — bekijkt en beheert alle aanvragen die de client verstuurt.
  - HTTPS — biedt een kanaal naar de server. De client ontvangt en valideert het certificaat van de server.
4. Authenticatietype — Kies uit de volgende authenticatietypen:
  - Geen. Er is geen verdere authenticatie vereist.
    
    Beschikbaar als u HTTP of HTTPS als proxyprotocol selecteert.
  - Eenvoudig — Wordt gebruikt voor een HTTP User Agent om een gebruikersnaam en wachtwoord op te geven bij het indienen van een aanvraag. Maakt gebruik van Base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als proxyprotocol selecteert.
    
    U moet op elk knooppunt de gebruikersnaam en het wachtwoord invoeren.
  - Digest — Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hashfunctie toe op de gebruikersnaam en het wachtwoord voordat ze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxyprotocol selecteert.
    
    U moet op elk knooppunt de gebruikersnaam en het wachtwoord invoeren.

Voorbeeld van hybride gegevensbeveiligingsknooppunten en -proxy

Dit diagram toont een voorbeeldverbinding tussen de Hybrid Data Security, het netwerk en een proxy. Voor de proxy-opties voor transparante inspectie en expliciete HTTPS-inspectie moet hetzelfde basiscertificaat geïnstalleerd zijn op de proxy en op de Hybrid Data Security-knooppunten.

Geblokkeerde externe DNS-resolutiemodus (expliciete proxyconfiguraties)

Wanneer u een node registreert of de proxyconfiguratie van het knooppunt controleert, worden de DNS-lookup en de connectiviteit met de Cisco Webex cloud getest. In implementaties met expliciete proxyconfiguraties die geen externe DNS-resolutie voor interne clients toestaan, wordt het knooppunt automatisch overgezet naar de modus Geblokkeerde externe DNS-resolutie als het knooppunt de DNS-servers niet kan opvragen. In deze modus kunnen de node-registratie en andere proxyconnectiviteitstests worden uitgevoerd.

Bereid uw omgeving voor

Vereisten voor hybride gegevensbeveiliging voor meerdere huurders

Cisco Webex Licentievereisten

Om hybride gegevensbeveiliging met meerdere huurders te implementeren:

Huurdersorganisaties: U moet een Pro Pack hebben voorCisco Webex Control Hub. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-nodes installeert, hebt u Docker Desktop nodig om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie heeft mogelijk een betaald abonnement nodig voor Docker Desktop. Zie de blogpost van Docker, „Docker is bezig met het updaten en uitbreiden van onze productabonnementen” voor meer informatie.

Klanten zonder een Docker Desktop-licentie kunnen een open-source tool voor containerbeheer, zoals Podman Desktop, gebruiken om containers uit te voeren, te beheren en te maken. Zie HDS Setup Tool uitvoeren met Podman Desktop voor meer informatie.

Vereisten voor het X.509-certificaat

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor de implementatie van hybride gegevensbeveiliging
Vereiste	Gegevens
Ondertekend door een vertrouwde Certificate Authority (CA)	Standaard vertrouwen we de CA's in de Mozilla-lijst (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een Common Name-domeinnaam (CN) die uw Hybrid Data Security-implementatie identificeert Is geen wildcard-certificaat	De CN hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die uw organisatie weerspiegelt, bijvoorbeeld `hds.company.com`. De CN mag geen * (jokerteken) bevatten. De CN wordt gebruikt om de hybride gegevensbeveiligingsknooppunten voor Webex App-clients te verifiëren. Alle Hybrid Data Security-knooppunten in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf aan de hand van het CN-domein, niet aan de hand van een domein dat is gedefinieerd in de X.509v3 SAN-velden. Als u eenmaal een node met dit certificaat hebt geregistreerd, bieden wij geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Handtekening zonder SHA1	De KMS-software ondersteunt geen SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Geformatteerd als een PKCS #12 -bestand dat met een wachtwoord is beveiligd Gebruik de vriendelijke naam `kms-private-key om het certificaat, de privésleutel` en eventuele tussenliggende certificaten te taggen om te uploaden.	U kunt een converter zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS Setup Tool gebruikt.
Ondersteund algoritme	Alleen RSA-certificaten worden ondersteund.

De KMS-software dwingt het gebruik van sleutels of uitgebreide beperkingen op het gebruik van sleutels niet af. Sommige certificeringsinstanties eisen dat op elk certificaat uitgebreide beperkingen voor het gebruik van sleutels worden toegepast, zoals serverauthenticatie. Het is OK om de serverauthenticatie of andere instellingen te gebruiken.

Vereisten voor virtuele hosts

De virtuele hosts die u als hybride gegevensbeveiligingsknooppunten in uw cluster gaat opzetten, moeten aan de volgende vereisten voldoen:

Minstens twee afzonderlijke hosts (3 aanbevolen) die zich bevinden in hetzelfde beveiligde datacenter
Ondersteunde hypervisors:
- VMware ESXi 7.0 of 8.0.
- Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) versie 26.2.1.
- Nutanix AOS 7.5.x met Nutanix AHV 11.0.x.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale ruimte op de harde schijf per server.

Vereisten voor de databaseserver

Creëer een nieuwe database voor sleutelopslag. Gebruik niet de standaarddatabase. De HDS-toepassingen creëren, indien geïnstalleerd, het databaseschema.

Er zijn twee opties voor de databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor de databaseserver per type database
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 of 18, geïnstalleerd en actief.	SQL Server 2016, 2017, 2019 of 2022 (Enterprise of Standard) geïnstalleerd. Voor SQL Server 2016 zijn Service Pack 2 en Cumulatieve Update 2 of hoger vereist.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en bewaking om ervoor te zorgen dat deze niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt gebruiken zonder dat u meer opslagruimte nodig hebt)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en bewaking om ervoor te zorgen dat deze niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt gebruiken zonder dat u meer opslagruimte nodig hebt)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-driver 42.2.5

JDBC-stuurprogramma 4.6 voor SQL Server

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover Cluster Instances en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-authenticatie tegen Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-authenticatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, dan hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, Active Directory infrastructuur en MS SQL Server moeten allemaal gesynchroniseerd zijn met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees-/schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten levert, moeten in staat zijn om uw Key Distribution Center (KDC) op te lossen.
U kunt de instantie van de HDS-database op uw Microsoft SQL Server registreren als Service Principal Name (SPN) op uw. Active Directory Zie Een Service Principal Name registreren voor Kerberos Connections.

De HDS-installatietool, het HDS-opstartprogramma en het lokale KMS hebben allemaal Windows-authenticatie nodig om toegang te krijgen tot de keystore-database. Ze gebruiken de gegevens van uw ISO-configuratie om de SPN samen te stellen wanneer ze toegang aanvragen met Kerberos-authenticatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit mogelijk te maken voor de HDS-toepassingen:

Applicatie	Protocol	Poort	Routebeschrijving vanuit de app	Bestemming
Knooppunten voor hybride gegevensbeveiliging	TCP	443	HTTPS en WSS naar het buitenland	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity hosts Andere URL's die voor Hybrid Data Security zijn vermeld in de tabel Aanvullende URL's voor Webex Hybrid Services van Network Requirements for Webex Services
Hulpmiddel voor het instellen van HDS	TCP	443	HTTPS voor uitgaand verkeer	*.wbx2.com Alle Common Identity hosts hub.docker.com

De Hybrid Data Security-knooppunten werken met Network Access Translation (NAT) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen naar de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die naar de Hybrid Data Security-knooppunten gaan, mogen er vanaf het internet geen poorten zichtbaar zijn. In uw datacenter hebben klanten toegang nodig tot de Hybrid Data Security-knooppunten op de TCP-poorten 443 en 22, voor administratieve doeleinden.

De URL's voor de Common Identity (CI) -hosts zijn regiospecifiek. Dit zijn de huidige CI-hosts:

regio	Algemene URL's van Identity Host
Noord- en Zuid-Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxyserver

We ondersteunen officieel de volgende proxyoplossingen die kunnen worden geïntegreerd met uw hybride gegevensbeveiligingsknooppunten.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy: Squid.
  
  Proxy's van inktvis die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) belemmeren. Zie Squid Proxies for Hybrid Data Security configureren om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van authenticatietypen voor expliciete proxy's:
- Geen authenticatie met HTTP of HTTPS
- Basisauthenticatie met HTTP of HTTPS
- Digest-authenticatie met alleen HTTPS
Voor een transparante inspectieproxy of een expliciete HTTPS-proxy hebt u een kopie van het basiscertificaat van de proxy nodig. De implementatie-instructies in deze handleiding vertellen u hoe u de kopie kunt uploaden naar de trust stores van de Hybrid Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet zo worden geconfigureerd dat uitgaand TCP-verkeer op poort 443 via de proxy wordt doorgestuurd.
Proxy's die het webverkeer inspecteren, kunnen interageren met de websocketverbindingen. Als dit probleem zich voordoet, wordt het probleem opgelost door verkeer naar wbx2.com en ciscospark.com te omzeilen (niet te inspecteren).

Voltooi de vereisten voor hybride gegevensbeveiliging

Gebruik deze checklist om er zeker van te zijn dat u klaar bent om uw Hybrid Data Security-cluster te installeren en te configureren.

1	Zorg ervoor dat uw organisatie HDS niet heeft ingeschakeld in Control Hub en verkrijg de inloggegevens van een account met volledige beheerdersrechten van de partner en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantenorganisatie is ingeschakeld voor Pro Pack forCisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties zouden geen bestaande HDS-implementatie moeten hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in de X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u als hybride gegevensbeveiligingsknooppunten in uw cluster gaat opzetten. U hebt minstens twee afzonderlijke hosts nodig (3 aanbevolen) die zich naast elkaar bevinden in hetzelfde beveiligde datacenter, die voldoen aan de vereisten in de vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die zal fungeren als de belangrijkste gegevensopslag voor het cluster, volgens de vereisten van de databaseserver. De databaseserver moet zich samen met de virtuele hosts in het beveiligde datacenter bevinden. Creëer een database voor sleutelopslag. (U moet deze database aanmaken. Gebruik niet de standaarddatabase. De HDS-toepassingen creëren, indien geïnstalleerd, het databaseschema.) Verzamel de gegevens die de knooppunten zullen gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor een snel noodherstel kunt u een back-upomgeving opzetten in een ander datacenter. De back-upomgeving is een afspiegeling van de productieomgeving van VM's en een back-up databaseserver. Als de productie bijvoorbeeld drie VM's heeft waarop HDS-knooppunten draaien, moet de back-upomgeving uit 3 VM's bestaan.
6	Stel een syslog-host in om logboeken te verzamelen van de knooppunten in het cluster. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Stel een veilig back-upbeleid op voor de Hybrid Data Security-knooppunten, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u ten minste een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de Hybrid Data Security-knooppunten. Omdat de Hybrid Data Security-knooppunten de sleutels opslaan die worden gebruikt voor de versleuteling en ontsleuteling van inhoud, zal het uitblijven van een operationele implementatie resulteren in een ONHERSTELBAAR VERLIES van die inhoud. Klanten van de Webex App bewaren hun sleutels in de cache, dus een storing is misschien niet meteen merkbaar, maar zal na verloop van tijd duidelijk worden. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Het volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-bestand van de configuratie leidt echter tot onherstelbare klantgegevens. Van de beheerders van de Hybrid Data Security-knooppunten wordt verwacht dat ze regelmatig back-ups maken van de database en het ISO-configuratiebestand, en dat ze bereid zijn om het Hybrid Data Security-datacenter opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit mogelijk maakt voor uw hybride gegevensbeveiligingsknooppunten, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker (https://www.docker.com) op elke lokale computer waarop een ondersteund besturingssysteem draait (Microsoft Windows10 Professional of Enterprise 64-bit, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft tot het systeem op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, die de lokale configuratiegegevens verzamelt voor alle Hybrid Data Security-knooppunten. Misschien hebt u een Docker Desktop-licentie nodig. Zie de vereisten voor Docker Desktop voor meer informatie. Om de HDS Setup Tool te installeren en uit te voeren, moet de lokale machine beschikken over de connectiviteit zoals beschreven in Externe connectiviteitsvereisten.
10	Als u een proxy integreert met Hybrid Data Security, zorg er dan voor dat deze voldoet aan de vereisten van de proxyserver.

Een hybride gegevensbeveiligingscluster opzetten

Taakstroom voor de implementatie van hybride gegevensbeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download de installatiebestanden Download het OVA-bestand naar uw lokale computer voor later gebruik.
2	Maak een configuratie-ISO voor de HDS-hosts Gebruik de HDS Setup Tool om een ISO-configuratiebestand te maken voor de Hybrid Data Security-knooppunten.
3	Installeer de HDS Host OVA Maak een virtuele machine op basis van het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. Het configureren van netwerkinstellingen tijdens de OVA-implementatie wordt alleen ondersteund op ESXi 7.0 en 8.0. Voor NFVIS-implementaties, zie De HDS Host OVA installeren op NFVIS. Voor Nutanix-implementaties, zie De HDS Host OVA installeren op Nutanix
4	De hybride VM voor gegevensbeveiliging instellen Meld u aan bij de VM-console en stel de inloggegevens in. Configureer de netwerkinstellingen voor het knooppunt als u ze niet hebt geconfigureerd ten tijde van de OVA-implementatie. Voor NFVIS-implementaties, zie De Hybrid Data Security VM instellen op NFVIS. Voor Nutanix-implementaties, zie Create the Hybrid Data Security VM op Nutanix
5	Upload en koppel de HDS-configuratie-ISO Configureer de VM op basis van het ISO-configuratiebestand dat u hebt gemaakt met de HDS Setup Tool. Voor NFVIS-implementaties, zie De HDS Configuration ISO uploaden en koppelen. Voor Nutanix-implementaties, zie De HDS Configuration ISO uploaden en koppelen
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving een proxyconfiguratie vereist, specificeer dan het type proxy dat u voor het knooppunt wilt gebruiken en voeg indien nodig het proxycertificaat toe aan de trust store.
7	Registreer het eerste knooppunt in het cluster Registreer de VM bij de Cisco Webex cloud als een hybride gegevensbeveiligingsknooppunt.
8	Meer knooppunten aanmaken en registreren Voltooi de clusterconfiguratie.
9	Activeer Multi-Tenant HDS op Partner Hub. Activeer HDS en beheer huurdersorganisaties op Partner Hub.

Voer de eerste installatie uit en download de installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u als hybride gegevensbeveiligingsknooppunten hebt ingesteld). U gebruikt dit bestand later in het installatieproces.

1	Meld u aan bij Partner Hub en klik vervolgens op Services.
2	Zoek in het gedeelte Hybrid naar de Hybrid Data Security-kaart en klik vervolgens op Instellen. Het klikken op Instellen in Partner Hub is cruciaal voor het implementatieproces. Ga niet verder met de installatie zonder deze stap te hebben voltooid.
3	Klik op Hulpbron toevoegen en klik op .OVA-bestand downloaden op de kaart Software installeren en configureren. Oudere versies van het softwarepakket (OVA) zullen niet compatibel zijn met de nieuwste upgrades voor hybride gegevensbeveiliging. Dit kan problemen veroorzaken bij het upgraden van de toepassing. Zorg ervoor dat u de laatste versie van het OVA-bestand downloadt. U kunt de OVA ook op elk gewenst moment downloaden via de Help-sectie. Klik op Instellingen > Help > Hybrid Data Security-software downloaden. Het OVA-bestand begint automatisch te downloaden. Sla het bestand op een locatie op uw computer op.

Maak een configuratie-ISO voor de HDS-hosts

Tijdens het installatieproces van Hybrid Data Security wordt een ISO-bestand gemaakt. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

Voordat u begint

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Docker op die computer uitvoeren. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1 tot en met 5 in de onderstaande procedure. Zie HDS Setup Tool uitvoeren met Podman Desktop voor meer informatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving

Variabel

HTTP-proxy zonder authenticatie

GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT

HTTPS-proxy zonder authenticatie

GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT

HTTP-proxy met authenticatie

GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxy met authenticatie

GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de laatste kopie van dit bestand nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals deze:
- Inloggegevens voor de database
- Updates van certificaten
- Wijzigingen in het autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de commandoregel van uw computer de juiste opdracht in voor uw omgeving:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stable

Met deze stap worden afbeeldingen van eerdere HDS-installatietools opgeschoond. Als er geen eerdere afbeeldingen zijn, wordt een fout geretourneerd die u kunt negeren.

2

Voer het volgende in om u aan te melden bij het Docker-beeldregister:

docker login -u hdscustomersro

3

Voer deze hash in bij de wachtwoordprompt:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download het meest recente stabiele image voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Wanneer de pull is voltooid, voert u de juiste opdracht in voor uw omgeving:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Als de container draait, ziet u „Express server listening on port 8080”.

6

De installatietool ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost te gaan, http://127.0.0.1:8080, en voer bij de prompt de gebruikersnaam van de beheerder voor Partner Hub in.

De tool gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool geeft vervolgens de standaard aanmeldingsprompt weer.

7

Voer desgevraagd uw inloggegevens voor de beheerder van Partner Hub in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor hybride gegevensbeveiliging.

8

Klik op de overzichtspagina van de Setup Tool op Aan de slag.

9

Op de ISO-importpagina hebt u de volgende opties:

Nee. Als u uw eerste HDS-node maakt, hoeft u geen ISO-bestand te uploaden.
Ja, als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de browser en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in de X.509-certificaatvereisten.

Als u nog nooit een certificaat hebt geüpload, upload dan het X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat verlopen is of als u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en de privésleutel van de vorige ISO? . Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en de account van HDS in om toegang te krijgen tot uw belangrijkste datastore:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u voor Microsoft SQL Server kiest, krijgt u een veld Authenticatietype.
(Alleen voor Microsoft SQL Server) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam.
- Windows-authenticatie: U hebt een Windows-account nodig met de indeling gebruikersnaam @DOMAIN in het veld Gebruikersnaam.
Voer het adres van de databaseserver in het formulier: <hostname><port>of: <IP-address><port>.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100. 17:1433

U kunt een IP-adres gebruiken voor basisverificatie, als de nodes DNS niet kunnen gebruiken om de hostnaam om te zetten.

Als u Windows-authenticatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten in de database voor sleutelopslag.

12

Selecteer een verbindingsmodus voor een TLS-database:

Modus	Beschrijving
Geef de voorkeur aan TLS (standaardoptie)	HDS-knooppunten hebben geen TLS nodig om verbinding te maken met de databaseserver. Als u TLS inschakelt op de databaseserver, proberen de knooppunten een versleutelde verbinding te maken.
TLS is vereist	HDS-knooppunten maken alleen verbinding als de databaseserver over TLS kan onderhandelen.
TLS vereisen en de ondertekenaar van het certificaat verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver over TLS kan onderhandelen. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het basiscertificaat van de database. Als ze niet overeenkomen, verbreekt het knooppunt de verbinding. Gebruik het basiscertificaatbeheer voor de database onder de keuzelijst om het basiscertificaat voor deze optie te uploaden.
TLS vereisen en de ondertekenaar en hostnaam van het certificaat verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver over TLS kan onderhandelen. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het basiscertificaat van de database. Als ze niet overeenkomen, verbreekt het knooppunt de verbinding. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databasehost en -poort. De namen moeten exact overeenkomen, anders verbreekt het knooppunt de verbinding. Gebruik het basiscertificaatbeheer voor de database onder de keuzelijst om het basiscertificaat voor deze optie te uploaden.

Wanneer u het basiscertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS Setup Tool de TLS-verbinding met de databaseserver. De tool verifieert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, geeft het programma een foutmelding waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege connectiviteitsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de HDS Setup Tool-machine deze niet succesvol kan testen.)

13

Configureer op de pagina Systeemlogboeken uw Syslogd-server:

Voer de URL van de syslogserver in.

Als de server niet via de nodes voor uw HDS-cluster via DNS kan worden opgelost, gebruik dan een IP-adres in de URL.

Voorbeeld:
udp: //10.92.43. 23:514 geeft aan dat u inlogt op Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat TLS-versleuteling wordt gebruikt, vink dan Is uw server geconfigureerd voor TLS-onderhandeling/handshake? .

Als u dit selectievakje aanvinkt, zorg er dan voor dat u een TCP-URL invoert, zoals tcp: //10.92.43. 23:514, en upload het syslog-basiscertificaat.
Kies in de keuzelijst Choose syslog record termination de juiste instelling voor uw ISO-bestand: Kies of Newline wordt gebruikt voor Graylog en Rsyslog TCP
- Nulbyte --\ x00
- Newline --\n—Selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor bepaalde parameters voor de databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u misschien wilt wijzigen:

app_datasource_connection_pool_maxSize: 10

15

Klik op Doorgaan op het scherm Wachtwoord voor serviceaccounts opnieuw instellen.

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm als uw wachtwoorden bijna verlopen zijn of als u ze opnieuw wilt instellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een locatie op die gemakkelijk te vinden is.

17

Maak een reservekopie van het ISO-bestand op uw lokale systeem.

Bewaar de reservekopie veilig. Dit bestand bevat een hoofdcoderingssleutel voor de inhoud van de database. Beperk de toegang tot alleen die Hybrid Data Security-beheerders die wijzigingen in de configuratie moeten aanbrengen.

18

Om de installatietool uit te schakelen, typt u CTRL+C.

Wat nu te doen

Maak een back-up van het ISO-bestand van de configuratie. U hebt het nodig om meer knooppunten te creëren voor herstel of om wijzigingen in de configuratie aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het herstellen van de sleutels uit uw PostgreSQL- of Microsoft SQL Server-database is niet mogelijk.

We hebben nooit een kopie van deze sleutel en kunnen u niet helpen als u hem kwijtraakt.

Installeer de HDS Host OVA

Gebruik deze procedure om een virtuele machine te maken op basis van het OVA-bestand.

Als u HDS op een NFVIS-hypervisor implementeert, zie dan de sectie Installeer de HDS Host OVA op NFVIS.

Als u HDS op een Nutanix-hypervisor implementeert, zie dan de sectie Installeer de HDS Host OVA op Nutanix.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Voer op de pagina Selecteer een naam en map een virtuele machinenaam voor het knooppunt in (bijvoorbeeld „HDS_Node_1"), kies een locatie waar de node-implementatie van de virtuele machine zich kan bevinden en klik vervolgens op Next.
5	Kies op de pagina Selecteer een computerbron de doelbron en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Als het klaar is, verschijnen de sjabloongegevens.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de bronconfiguratie te kiezen op de configuratiepagina, klik dan op 4 CPU en vervolgens op Next.
8	Klik op de pagina Opslag selecteren op Volgende om het standaardschijfformaat en het VM-opslagbeleid te accepteren.
9	Kies op de pagina Netwerken selecteren de netwerkoptie uit de lijst met items om de gewenste connectiviteit met de VM te bieden.
10	Op de pagina Sjabloon aanpassen configureert u de volgende netwerkinstellingen: Hostnaam — Voer de FQDN (hostnaam en domein) of de hostnaam van één woord voor het knooppunt in. U hoeft het domein niet zo in te stellen dat het overeenkomt met het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Om een succesvolle registratie in de cloud te garanderen, moet u alleen kleine letters gebruiken in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld. Hoofdlettergebruik wordt op dit moment niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres — Voer het IP-adres in voor de interne interface van het knooppunt. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund. Masker — Voer het adres van het subnetmasker in decimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway — Voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dient als toegangspunt tot een ander netwerk. DNS-servers — Voer een door komma's gescheiden lijst in van DNS-servers, die de vertaling van domeinnamen naar numerieke IP-adressen afhandelen. (Er zijn maximaal 4 DNS-ingangen toegestaan.) NTP-servers — Voer de NTP-server van uw organisatie in of een andere externe NTP-server die in uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een lijst met komma's gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster bereikbaar zijn vanaf clients in uw netwerk voor administratieve doeleinden. Indien gewenst kunt u de configuratie van de netwerkinstellingen overslaan en de stappen volgen in De Hybrid Data Security VM instellen om de instellingen vanaf de nodeconsole te configureren. De optie om netwerkinstellingen te configureren tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. De optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op de VM-node en kies vervolgens Power > Power On. De Hybrid Data Security-software wordt als gast op de VM-host geïnstalleerd. U bent nu klaar om u aan te melden bij de console en de node te configureren. Tips voor het oplossen van problemen Het kan een paar minuten duren voordat de nodecontainers beschikbaar zijn. Tijdens de eerste keer opstarten verschijnt er een bericht over de bridge firewall op de console, waarbij u zich niet kunt aanmelden.

De hybride VM voor gegevensbeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het Hybrid Data Security-knooppunt en de inloggegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u ze niet hebt geconfigureerd tijdens de OVA-implementatie.

Als u HDS op een NFVIS-hypervisor implementeert, zie dan de sectie De Hybrid Data Security VM instellen op NFVIS.

Als u HDS op een Nutanix-hypervisor implementeert, zie dan de sectie Create the Hybrid Data Security VM op Nutanix.

1	Selecteer in de VMware vSphere-client de VM van uw Hybrid Data Security-knooppunt en selecteer het tabblad Console. De VM start op en er verschijnt een aanmeldingsprompt. Als de aanmeldingsprompt niet verschijnt, druk dan op Enter.
2	Gebruik de volgende standaardaanmelding en wachtwoord om in te loggen en de inloggegevens te wijzigen: Inloggen: `admin` Wachtwoord: `ciscosystems` Aangezien u zich voor de eerste keer aanmeldt bij uw VM, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in Install the HDS Host OVA, sla dan de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken.
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig de hostnaam, het domein of de NTP-server (s), indien nodig om aan uw netwerkbeleid te voldoen. U hoeft het domein niet zo in te stellen dat het overeenkomt met het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen van kracht worden.

Upload en koppel de HDS-configuratie-ISO

Gebruik deze procedure om de virtuele machine te configureren op basis van het ISO-bestand dat u hebt gemaakt met de HDS Setup Tool.

Als u HDS op een NFVIS-hypervisor implementeert, zie dan de sectie Upload and Mount the HDS Configuration ISO.

Als u HDS op een Nutanix-hypervisor implementeert, zie dan de sectie Upload and Mount the HDS Configuration ISO.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op basis van „need to know”, zodat de VM's van Hybrid Data Security en eventuele beheerders die mogelijk wijzigingen moeten aanbrengen, toegankelijk zijn. Zorg ervoor dat alleen die beheerders toegang hebben tot de datastore.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkernavigatievenster van de VMware vSphere-client op de ESXi-server.
Klik op de Hardwarelijst van het tabblad Configuratie op Opslag.
Klik in de lijst Datastores met de rechtermuisknop op de datastore voor uw VM's en klik op Browse Datastore.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand hebt gedownload op uw computer en klik op Open.
Klik op Ja om de waarschuwing voor het uploaden en downloaden te accepteren en het dialoogvenster voor de datastore te sluiten.

2

Koppel het ISO-bestand:

Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te mounten vanuit een ISO-bestand in de datastore en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Vink Aangesloten en Aansluiten aan bij inschakelen.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

Wat nu te doen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand ontkoppelen nadat al uw nodes de configuratiewijzigingen hebben overgenomen. Zie (Optioneel) ISO ontkoppelen na de HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruik dan deze procedure om aan te geven welk type proxy u wilt integreren met Hybrid Data Security. Als u kiest voor een transparante inspectieproxy of een expliciete HTTPS-proxy, kunt u de interface van het knooppunt gebruiken om het basiscertificaat te uploaden en te installeren. U kunt ook via de interface de proxyverbinding controleren en eventuele problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxyserver

1	Voer de URL voor het instellen van het `HDS-knooppunt https://[HDS Node IP or FQDN] /setup` in een webbrowser in, voer de beheerdersgegevens in die u voor het knooppunt hebt ingesteld en klik vervolgens op Aanmelden.
2	Ga naar Trust Store & Proxy en kies vervolgens een optie: Geen proxy — De standaardoptie voordat u een proxy integreert. Er is geen update van het certificaat vereist. Transparante proxy die niet inspecteert — Knooppunten zijn niet geconfigureerd om een specifiek adres van de proxyserver te gebruiken en zouden geen wijzigingen nodig moeten hebben om te kunnen werken met een proxy die niet inspecteert. Er is geen update van het certificaat vereist. Transparent Inspecting Proxy — Nodes zijn niet geconfigureerd om een specifiek adres van de proxyserver te gebruiken. Voor de implementatie van Hybrid Data Security zijn geen wijzigingen in de HTTPS-configuratie nodig, maar de HDS-knooppunten hebben een basiscertificaat nodig zodat ze de proxy kunnen vertrouwen. Inspectieproxy's worden doorgaans door IT gebruikt om het beleid af te dwingen over welke websites kunnen worden bezocht en welke soorten inhoud niet zijn toegestaan. Dit type proxy decodeert al uw verkeer (zelfs HTTPS). Expliciete proxy — Met een expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt, en deze optie ondersteunt verschillende soorten authenticatie. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy IP/FQDN — Adres dat kan worden gebruikt om de proxymachine te bereiken. Proxypoort — Een poortnummer dat de proxy gebruikt om naar proxyverkeer te luisteren. Proxy-protocol — Kies http (bekijkt en beheert alle aanvragen die van de client worden ontvangen) of https (biedt een kanaal naar de server en de client ontvangt en valideert het certificaat van de server). Kies een optie op basis van wat uw proxyserver ondersteunt. Authenticatietype — Kies uit de volgende authenticatietypen: Geen. Er is geen verdere authenticatie vereist. Beschikbaar voor HTTP- of HTTPS-proxy's. Eenvoudig — Wordt gebruikt voor een HTTP User Agent om een gebruikersnaam en wachtwoord op te geven bij het indienen van een aanvraag. Maakt gebruik van Base64-codering. Beschikbaar voor HTTP- of HTTPS-proxy's. Als u voor deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest — Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hashfunctie toe op de gebruikersnaam en het wachtwoord voordat ze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u voor deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectieproxy, een expliciete HTTP-proxy met basisauthenticatie of een expliciete HTTPS-proxy.
3	Klik op Een basiscertificaat of Entiteitscertificaat uploaden en ga vervolgens naar en kies het basiscertificaat voor de proxy. Het certificaat is geüpload, maar nog niet geïnstalleerd, omdat u de node opnieuw moet opstarten om het certificaat te installeren. Klik op het pijltje naast de naam van de uitgever van het certificaat voor meer informatie, of klik op Verwijderen als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op Proxyverbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, krijgt u een foutmelding met de reden en hoe u het probleem kunt verhelpen. Als u een bericht ziet waarin staat dat de externe DNS-resolutie niet is gelukt, kon het knooppunt de DNS-server niet bereiken. Deze toestand wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en de node zal functioneren in de modus Blocked External DNS Resolution. Als u denkt dat dit een fout is, voer dan deze stappen uit en zie Geblokkeerde externe DNS-resolutiemodus uitschakelen.
5	Als de verbindingstest geslaagd is, moet u voor een expliciete proxy die alleen op https is ingesteld, de schakelaar inschakelen om alle HTTPS-aanvragen van poort 443/444 van dit knooppunt via de expliciete proxy te routeren. Deze instelling heeft 15 seconden nodig om van kracht te worden.
6	Klik op Alle certificaten in de Trust Store installeren (verschijnt voor een expliciete HTTPS-proxy of een transparante inspectieproxy) of op Opnieuw opstarten (verschijnt voor een expliciete HTTP-proxy), lees de prompt en klik vervolgens op Installeren als u klaar bent. De node start binnen enkele minuten opnieuw op.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich indien nodig opnieuw aan en opent u vervolgens de pagina Overzicht om de connectiviteitscontroles te controleren om er zeker van te zijn dat ze allemaal de groene status hebben. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er verbindingsproblemen zijn, is een veelvoorkomend probleem dat sommige van de clouddomeinen die in de installatie-instructies worden vermeld, bij de proxy worden geblokkeerd.

Registreer het eerste knooppunt in het cluster

Deze taak neemt het generieke knooppunt dat u hebt gemaakt in de VM voor het instellen van de hybride gegevensbeveiliging, registreert het knooppunt bij de Webex-cloud en maakt er een hybride gegevensbeveiligingsknooppunt van.

Wanneer u uw eerste node registreert, creëert u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn ingezet om redundantie te bieden.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u dat binnen 60 minuten voltooien, anders moet u opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan op https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Hybrid naar de Hybrid Data Security-kaart en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een bron toevoegen.
5	Voer in het eerste veld van Create a new cluster card een naam in voor het cluster waaraan u uw Hybrid Data Security-node wilt toewijzen. We raden u aan een cluster een naam te geven op basis van waar de knooppunten van het cluster zich geografisch bevinden. Voorbeelden: „San Francisco”, „New York” of „Dallas”
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen aan de onderkant van het scherm. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein dat u hebt gebruikt bij de installatie van de Hybrid Data Security VM. Er verschijnt een bericht dat u uw node kunt registreren bij de Webex.
7	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor knooppunten voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina Toegang tot Hybrid Data Security Node toestaan. Daar bevestigt u dat u uw Webex-organisatie toestemming wilt geven voor toegang tot uw node.
8	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht „Registratie voltooid” geeft aan dat uw node nu is geregistreerd in de Webex-cloud.
9	Klik op de link of sluit het tabblad om terug te gaan naar de Partner Hub Hybrid Data Security-pagina. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd, weergegeven op het tabblad Bronnen. Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten aanmaken en registreren

Om extra knooppunten aan uw cluster toe te voegen, hoeft u alleen maar extra VM's te maken en hetzelfde ISO-configuratiebestand aan te koppelen en vervolgens het knooppunt te registreren. We raden u aan om minstens 3 nodes te hebben.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u dat binnen 60 minuten voltooien, anders moet u opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine op basis van de OVA door de stappen in Installeer de HDS Host OVA te herhalen.
2	Stel de initiële configuratie in op de nieuwe VM door de stappen te herhalen in De hybride VM voor gegevensbeveiliging instellen.
3	Op de nieuwe VM herhaalt u de stappen in Upload and Mount the HDS Configuration ISO.
4	Als u een proxy instelt voor uw implementatie, herhaal dan de stappen in Configureer het HDS-knooppunt voor proxy-integratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. In https://admin.webex.com selecteert u Services in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Hybrid naar de Hybrid Data Security-kaart en klik op Alles bekijken. De pagina Hybrid Data Security Resources verschijnt. Het nieuw aangemaakte cluster verschijnt op de pagina Bronnen. Klik op het cluster om de knooppunten te bekijken die aan het cluster zijn toegewezen. Klik op Knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat u uw node kunt registreren in de Webex-cloud. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor knooppunten voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina Toegang tot Hybrid Data Security Node toestaan. Daar bevestigt u dat u uw organisatie toestemming wilt geven om toegang te krijgen tot uw node. Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht „Registratie voltooid” geeft aan dat uw node nu is geregistreerd in de Webex-cloud. Klik op de link of sluit het tabblad om terug te gaan naar de Partner Hub Hybrid Data Security-pagina. Het pop-upbericht Knooppunt toegevoegd verschijnt ook onderaan het scherm in Partner Hub. Uw node is geregistreerd.

Wat nu te doen

Om extra clusters aan te maken, meldt u zich aan bij Partner Hub en klikt u op Services > Hybrid Data Security > Alles weergeven > Cluster toevoegen. Volg de stappen die in het bovenstaande gedeelte zijn beschreven om het eerste knooppunt toe te voegen aan de extra cluster of clusters.

Beheer huurdersorganisaties op het gebied van hybride gegevensbeveiliging met meerdere huurders

Activeer HDS voor meerdere huurders op de Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor versleutelingssleutels op locatie en andere beveiligingsdiensten.

Voordat u begint

Zorg ervoor dat u klaar bent met de installatie van uw Multi-Tenant HDS-cluster met het vereiste aantal nodes.

1	Meld u aan op https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek Hybrid Data Security in de sectie Hybrid Data Security en klik op Instellingen bewerken.
4	Klik op HDS activeren op de HDS-statuskaart.

Voeg huurdersorganisaties toe in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw Hybrid Data Security Cluster.

1	Meld u aan op https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in de sectie Hybrid Data Security naar Hybrid Data Security en klik op Alles weergeven.
4	Ga naar het tabblad Toegewezen klanten. Het tabblad Toegewezen klanten wordt pas weergegeven als u een cluster maakt.
5	Klik op Klanten toevoegen.
6	Selecteer de klant die u wilt toevoegen in het keuzemenu.
7	Klik op Toevoegen, de klant wordt aan het cluster toegevoegd.
8	Herhaal de stappen 5 tot en met 7 om meerdere klanten aan uw cluster toe te voegen.
9	Klik op Gereed aan de onderkant van het scherm als u de klanten hebt toegevoegd. Toegevoegde klanten worden gesynchroniseerd tussen alle beschikbare clusters.

Wat nu te doen

Voer de HDS Setup tool uit zoals beschreven in Create Customer Main Keys (CMK's) met behulp van de HDS Setup tool om het installatieproces te voltooien.

Maak hoofdsleutels voor klanten (CMK's) met behulp van de HDS Setup tool

Voordat u begint

Wijs klanten toe zoals beschreven in Tenantorganisaties toevoegen in Partner Hub. Voer de HDS Setup tool uit om het installatieproces voor de nieuw toegevoegde klantenorganisaties te voltooien.

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Docker op die computer uitvoeren. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving	Variabel
HTTP-proxy zonder authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy zonder authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy met authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de laatste kopie van dit bestand nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals deze:
- Inloggegevens voor de database
- Updates van certificaten
- Wijzigingen in het autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Tijdens het installatieproces van Hybrid Data Security wordt een ISO-bestand gemaakt. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de commandoregel van uw computer de juiste opdracht in voor uw omgeving: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Met deze stap worden afbeeldingen van eerdere HDS-installatietools opgeschoond. Als er geen eerdere afbeeldingen zijn, wordt een fout geretourneerd die u kunt negeren.
2	Voer het volgende in om u aan te melden bij het Docker-beeldregister: `docker login -u hdscustomersro`
3	Voer deze hash in bij de wachtwoordprompt: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download het meest recente stabiele image voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Wanneer de pull is voltooid, voert u de juiste opdracht in voor uw omgeving: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Als de container draait, ziet u „Express server listening on port 8080”.
6	De installatietool ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost te gaan, `http://127.0.0.1:8080`, en voer bij de prompt de gebruikersnaam van de beheerder voor Partner Hub in. De tool gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool geeft vervolgens de standaard aanmeldingsprompt weer.
7	Voer desgevraagd uw inloggegevens voor de beheerder van Partner Hub in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor hybride gegevensbeveiliging.
8	Klik op de overzichtspagina van de Setup Tool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg voor connectiviteit met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad CMK-beheer voor huurders, waar u de volgende drie manieren vindt om CMK's voor huurders te beheren. Creëer CMK voor alle organisaties of creëer CMK - Klik op deze knop op de banner bovenaan het scherm om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's aanmaken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik dichtbij het CMK-beheer in afwachting van de status van een specifieke organisatie in de tabel en klik op Create CMK om CMK voor die organisatie aan te maken.
12	Zodra de CMK-creatie succesvol is, verandert de status in de tabel van CMK-beheer in behandeling naar CMK-beheerd.
13	Als het aanmaken van de CMK niet lukt, wordt er een foutmelding weergegeven.

Huurdersorganisaties verwijderen

Voordat u begint

Eenmaal verwijderd, kunnen gebruikers van klantenorganisaties HDS niet meer gebruiken voor hun coderingsbehoeften en verliezen ze alle bestaande ruimte. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Meld u aan op https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in de sectie Hybrid Data Security naar Hybrid Data Security en klik op Alles weergeven.
4	Klik op de pagina die wordt geopend op het tabblad Toegewezen klanten.
5	In de lijst van klantenorganisaties die wordt weergegeven, klikt u op aan de rechterkant van de klantenorganisatie die u wilt verwijderen en klik op Verwijderen uit cluster.

Wat nu te doen

Voltooi het verwijderingsproces door de CMK's van de klantenorganisaties in te trekken, zoals beschreven in CMK's intrekken van huurders die uit HDS zijn verwijderd.

CMK's intrekken van huurders die uit HDS zijn verwijderd.

Voordat u begint

Klanten verwijderen zoals beschreven in Tenantorganisaties verwijderen. Voer de HDS Setup-tool uit om het verwijderingsproces te voltooien voor de klantenorganisaties die zijn verwijderd.

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Docker op die computer uitvoeren. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving	Variabel
HTTP-proxy zonder authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy zonder authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy met authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de laatste kopie van dit bestand nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals deze:
- Inloggegevens voor de database
- Updates van certificaten
- Wijzigingen in het autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Tijdens het installatieproces van Hybrid Data Security wordt een ISO-bestand gemaakt. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de commandoregel van uw computer de juiste opdracht in voor uw omgeving: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Met deze stap worden afbeeldingen van eerdere HDS-installatietools opgeschoond. Als er geen eerdere afbeeldingen zijn, wordt een fout geretourneerd die u kunt negeren.
2	Voer het volgende in om u aan te melden bij het Docker-beeldregister: `docker login -u hdscustomersro`
3	Voer deze hash in bij de wachtwoordprompt: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download het meest recente stabiele image voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Wanneer de pull is voltooid, voert u de juiste opdracht in voor uw omgeving: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Als de container draait, ziet u „Express server listening on port 8080”.
6	De installatietool ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost te gaan, `http://127.0.0.1:8080`, en voer bij de prompt de gebruikersnaam van de beheerder voor Partner Hub in. De tool gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool geeft vervolgens de standaard aanmeldingsprompt weer.
7	Voer desgevraagd uw inloggegevens voor de beheerder van Partner Hub in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor hybride gegevensbeveiliging.
8	Klik op de overzichtspagina van de Setup Tool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het tabblad CMK-beheer voor huurders, waar u de volgende drie manieren vindt om CMK's voor huurders te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop op de banner bovenaan het scherm om CMK's in te trekken van alle organisaties die zijn verwijderd. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's intrekken om CMK's in te trekken van alle organisaties die zijn verwijderd. Klik dichtbij de CMK om de status van een specifieke organisatie in de tabel in te trekken en klik op CMK intrekken om de CMK voor die specifieke organisatie in te trekken.
12	Zodra de CMK-herroeping succesvol is, verschijnt de klantenorganisatie niet langer in de tabel.
13	Als de CMK-herroeping mislukt, wordt er een foutmelding weergegeven.

Test uw implementatie van hybride gegevensbeveiliging

Gebruik deze procedure om coderingsscenario's voor hybride gegevensbeveiliging met meerdere huurders te testen.

Voordat u begint

Stel uw implementatie voor hybride gegevensbeveiliging voor meerdere huurders in.
Zorg ervoor dat u toegang hebt tot de syslog om te controleren of belangrijke verzoeken worden doorgestuurd naar uw Multi-Tenant Hybrid Data Security-implementatie.

1

De sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte aan.

Als u de implementatie van Hybrid Data Security deactiveert, is de inhoud in ruimten die gebruikers aanmaken niet langer toegankelijk zodra de kopieën van de coderingssleutels die in de cache van de client zijn opgeslagen, zijn vervangen.

2

Stuur berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te controleren of de belangrijkste verzoeken worden doorgegeven aan uw Hybrid Data Security-implementatie.

Als een gebruiker van een nieuw toegevoegde klantorganisatie een actie uitvoert, verschijnt de organisatie-ID van de organisatie in de logboeken, en deze kan worden gebruikt om te verifiëren dat de organisatie gebruikmaakt van Multi-Tenant HDS. Controleer de waarde van KMS.Data.orgID in de syslogs.

Om te controleren of een gebruiker eerst een beveiligd kanaal naar het KMS heeft ingesteld, filtert u op kms.data.method=create en kms.data.type=ephemeral_key_collection:

U zou een item moeten vinden zoals de volgende (identificatiegegevens zijn ingekort voor de leesbaarheid):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een bestaande sleutel aanvraagt bij het KMS, filtert u op kms.data.method=retrieve en KMS.data.type=Key:

U zou een item moeten vinden zoals:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of er een gebruiker is die een nieuwe KMS-sleutel wil aanmaken, filtert u op kms.data.method=create en KMS.data.type=KEY_COLLECTION:

U zou een item moeten vinden zoals:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een nieuw KMS Resource Object (KRO) wil aanmaken wanneer een ruimte of een andere beveiligde bron wordt aangemaakt, filtert u op kms.data.method=create en KMS.data.type=resource_collection:

U zou een item moeten vinden zoals:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

HDS-logboeken interpreteren en labels van agenten begrijpen

HDS-logboeken bevatten gedetailleerde informatie over KMS-aanvragen. Deze logboeken bevatten verschillende velden die helpen bij het identificeren van de aard van het verzoek en de bijbehorende identiteit. Het begrijpen van deze velden is essentieel voor een correcte interpretatie van activiteiten en betrouwbare interne operaties.

Terminologie

Voor alle duidelijkheid bij het bekijken van de HDS-logboeken is het belangrijk dat u de volgende termen begrijpt:

Termijn	Definitie
Servicerekening	Een service-identiteit waarmee Webex-services geautoriseerde acties veilig kunnen uitvoeren.
Agent	Een service-entiteit of een serviceaccountidentiteit die wordt gebruikt om geautomatiseerde operaties uit te voeren binnen de HDS-omgeving.
Label van de agent	Een tag die is opgenomen in de HDS-logboeken die de specifieke bron en het type van een binnenkomend verzoek identificeert, waardoor effectieve toegangscontrole mogelijk is.
Gedelegeerde toegang	Een geautoriseerd serviceaccount dat een aanvraag doet voor een specifieke gebruiker, binnen de rechten van die gebruiker. Verschijnt als een delegatieverzoek: `agent -> gebruikersnaam`.

De term „agent” verwijst in deze context specifiek naar de identiteiten van de HDS-diensten. Deze zijn niet gerelateerd aan de door AI aangedreven agenten die worden gebruikt in andere Webex-functies.

Een verzoek wordt alleen ingewilligd als het afkomstig is van:

een geverifieerde gebruiker in uw organisatie, of
een serviceaccount dat gevestigd is in en geautoriseerd is door uw organisatie.

Overzicht van logvelden

Veld	Waar het voor staat
Tijdstempel	Datum en tijd van de operatie.
kms.data.methode	De KMS-bewerking die is uitgevoerd (bijvoorbeeld ophalen).
kms.data.orgld	Identificatiecode van de organisatie.
KMS.Data.Http gebruikersagent	De klant of dienst die de aanvraag doet.
WEBEX_TRACKINGID	Unieke tracking-ID voor de aanvraag.
KMS.Data.UriHost/kms.data.uri	De host en de bron waarop het verzoek betrekking heeft.
kms.data.userld	De identiteit die het verzoek heeft uitgevoerd, met inbegrip van het label van een agent.
kms.response.success	Geeft aan of de aanvraag is geslaagd.

Soorten aanvragen - Beknopte informatie

Tag in het logboek	Label van de agent	Waar het voor staat	Typische operaties
Gebruikerstype: UserAgent	User Agent	Een vertrouwd serviceaccount dat gekoppeld is aan een gebruikersworkflow, aangepast aan uw organisatie.	Sleutels aanmaken en beheren voor een gebruikersproces.
o-agent <id>-> gebruikersnaam <id>	Agent van de organisatie	Een vertrouwde serviceaccount op organisatieniveau waarbij gebruik wordt gemaakt van gedelegeerde toegang.	Extractie van Webex-gegevens door de nalevingsfunctionaris, agenda-integraties.
c-agent <id>-> gebruikersnaam <id>	Cloud Agent	Een Webex-service die een gedelegeerd verzoek uitvoert voor een specifieke gebruiker.	Virusscans, voorvertoning van de inhoud, transcripties.
c-agent <id>	Cloud Agent	Een Webex-service die een gedelegeerd verzoek uitvoert.	ECDHE/sessietoetsen.
UUID voor eindgebruikers	-	De geverifieerde eindgebruiker die interageert met HDS.	Een gebruiker die zijn eigen sleutel ophaalt.

Soorten aanvragen - In detail

Etiketten van agenten categoriseren de bron van het verzoek en helpen bij het bepalen van de juiste toegangscontroles. De volgende voorbeelden tonen meerdere aanvraagtypes en de bijbehorende agentlabels.

Gebruikersagent (UserAgent):

Dit zijn vertrouwde Webex-serviceaccounts die zijn gekoppeld aan specifieke gebruikersworkflows en die zijn afgestemd op de klantorganisatie. Ze worden meestal gebruikt wanneer een service sleutels aanmaakt en beheert namens een gebruikersworkflow.

Voorbeeldlogboek:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Belangrijke indicator: Het voorbeeldlogboek toont een gebruikersagent (UserAgent) die bronverzamelingen uitvoert voor een Webex-service.
Organisatieagent (co-agent):

Deze vertrouwde Webex-serviceaccounts zijn bevoegd om gedelegeerde bewerkingen uit te voeren namens gebruikers binnen HDS. Deze accounts zijn gericht op de klantorganisatie en voeren activiteiten op organisatieniveau uit. Deze functionaliteit ondersteunt verschillende functies, zoals het mogelijk maken van nalevingsfunctionarissen om Webex-communicatiegegevens te zoeken en te extraheren, zodat de organisatie wordt afgestemd op de normen op het gebied van regelgeving, beveiliging en gegevensprivacy.

Voorbeeldlogboek:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Belangrijke indicator: Het voorbeeldlogboek toont een organisatieagent (o-agent 9 [~] c) die namens de gebruiker een sleutel ophaalt (4 [~] b) voor een Webex-service.
Cloud Agent (c-agent):
Deze vertrouwde Webex-serviceaccounts zijn gemachtigd om namens een gebruiker bewerkingen uit te voeren op HDS via gedelegeerde toegang. Ze ondersteunen essentiële functies, zoals opnames na een vergadering, transcripties, antimalwarescanning en bestandsvoorbeelden die de algehele gebruikerservaring verbeteren.

Cloud Agents kunnen worden uitgeschakeld door de ISO aan te passen, maar klanten moeten zich ervan bewust zijn dat dit zal resulteren in een verlies van functies, zoals opnames na de vergadering, transcripties, bestandsvoorbeelden en automatische antimalwarescanning in Webex App Spaces. Zie de sectie Cloud Agents uitschakelen voor meer informatie.

Voorbeeldlogboek:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Belangrijke indicator: Het voorbeeldlogboek toont een cloudagent (c-agent b [~] c) die namens de gebruiker een inhoudssleutel ophaalt (9 [~] c).

Directe interactie met eindgebruikers:

Een geverifieerde gebruiker die rechtstreeks met HDS communiceert.

Voorbeeldlogboek:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Belangrijke indicator: Het voorbeeldlogboek toont een eindgebruiker (c [~] f) die een sleutel ophaalt en rechtstreeks met HDS communiceert.

Bewaak de gezondheid van hybride gegevensbeveiliging

Een statusindicator in Partner Hub laat zien of alles goed is met de implementatie van Multi-Tenant Hybrid Data Security. Meld u aan voor e-mailmeldingen als u proactiever wilt waarschuwen. U krijgt een melding als er alarmen of software-upgrades zijn die van invloed zijn op de service.

1	Selecteer in Partner Hub Services in het menu aan de linkerkant van het scherm.
2	Zoek Hybrid Data Security in de sectie Hybrid Data Security en klik op Instellingen bewerken. De pagina Hybrid Data Security Settings verschijnt.
3	Typ in het gedeelte E-mailmeldingen een of meer e-mailadressen, gescheiden door komma's, en druk op Enter.

Beheer uw HDS-implementatie

De HDS-implementatie beheren

Gebruik de taken die hier worden beschreven om uw implementatie van hybride gegevensbeveiliging te beheren.

Stel een schema voor een clusterupgrade in

Software-upgrades voor hybride gegevensbeveiliging worden automatisch uitgevoerd op clusterniveau, wat ervoor zorgt dat alle knooppunten altijd dezelfde softwareversie gebruiken. De upgrades worden uitgevoerd volgens het upgradeschema voor het cluster. Wanneer een software-upgrade beschikbaar komt, hebt u de mogelijkheid om het cluster handmatig te upgraden vóór de geplande upgradetijd. U kunt een specifiek upgradeschema instellen of het standaardschema van 3.00 uur per dag in de Verenigde Staten: Amerika/Los Angeles gebruiken. U kunt er ook voor kiezen om een aanstaande upgrade uit te stellen, indien nodig.

Om het upgradeschema in te stellen:

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in de sectie Hybrid Data Security naar Hybrid Data Security en klik op Instellen.
4	Selecteer het cluster op de pagina Hybrid Data Security Resources.
5	Klik op het tabblad Clusterinstellingen.
6	Selecteer op de pagina Clusterinstellingen onder Upgradeschema de tijd en tijdzone voor het upgradeschema. Opmerking: In de tijdzone worden de volgende beschikbare upgradedatum en -tijd weergegeven. Indien nodig kunt u de upgrade uitstellen tot de volgende dag door op Uitstellen met 24 uur te klikken.

De node-configuratie wijzigen

Soms moet u de configuratie van uw Hybrid Data Security-knooppunt wijzigen om bijvoorbeeld:

X.509-certificaten wijzigen vanwege de vervaldatum of om andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat werd gebruikt om het cluster te registreren.
Database-instellingen bijwerken om over te schakelen naar een replica van de PostgreSQL- of Microsoft SQL Server-database.

We bieden geen ondersteuning voor de migratie van gegevens van PostgreSQL naar Microsoft SQL Server, of omgekeerd. Om van databaseomgeving te veranderen, moet u een nieuwe implementatie van Hybrid Data Security starten.
Een nieuwe configuratie aanmaken om een nieuw datacenter voor te bereiden.

Om veiligheidsredenen maakt Hybrid Data Security ook gebruik van wachtwoorden voor serviceaccounts met een levensduur van negen maanden. Nadat de HDS Setup tool deze wachtwoorden heeft gegenereerd, implementeert u ze op elk van uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen zijn, ontvangt u een bericht van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (De e-mail bevat de tekst: „Gebruik de API van het machineaccount om het wachtwoord bij te werken.”) Als uw wachtwoorden nog niet verlopen zijn, biedt de tool u twee opties:

Zachte reset — De oude en nieuwe wachtwoorden werken beide tot 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten geleidelijk te vervangen.
Harde reset — De oude wachtwoorden werken onmiddellijk niet meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, heeft dat gevolgen voor uw HDS-service, waarbij een onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten vereist is.

Gebruik deze procedure om een nieuw ISO-bestand voor de configuratie te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Docker op die computer uitvoeren. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten van de partner.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1.a tot en met 1.e in de onderstaande procedure. Zie HDS Setup Tool uitvoeren met Podman Desktop voor meer informatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container in 1.e opent. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving	Variabel
HTTP-proxy zonder authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy zonder authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy met authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

U hebt een kopie nodig van het huidige ISO-bestand voor de configuratie om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel die de PostgreSQL- of Microsoft SQL Server-database versleutelt. U hebt de ISO nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals inloggegevens voor de database, certificaatupdates of wijzigingen in het autorisatiebeleid.

1	Gebruik Docker op een lokale computer en voer de HDS Setup Tool uit. Voer op de commandoregel van uw computer de juiste opdracht in voor uw omgeving: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Met deze stap worden afbeeldingen van eerdere HDS-installatietools opgeschoond. Als er geen eerdere afbeeldingen zijn, wordt een fout geretourneerd die u kunt negeren. Voer het volgende in om u aan te melden bij het Docker-beeldregister: `docker login -u hdscustomersro` Voer deze hash in bij de wachtwoordprompt: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download het meest recente stabiele image voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable` Zorg ervoor dat u de meest recente installatietool gebruikt voor deze procedure. Versies van de tool die vóór 22 februari 2018 zijn gemaakt, hebben geen schermen voor het opnieuw instellen van het wachtwoord. Wanneer de pull is voltooid, voert u de juiste opdracht in voor uw omgeving: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Als de container draait, ziet u „Express server listening on port 8080”. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De installatietool ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Voer desgevraagd de inloggegevens van uw Partner Hub-klant in en klik vervolgens op Accepteren om door te gaan. Importeer het huidige ISO-bestand voor de configuratie. Volg de aanwijzingen om de tool te voltooien en het bijgewerkte bestand te downloaden. Om de installatietool uit te schakelen, typt `u CTRL+C`. Maak een reservekopie van het bijgewerkte bestand in een ander datacenter.
2	Als er maar één HDS-knooppunt actief is, maak dan een nieuwe VM voor hybride gegevensbeveiligingsknooppunten en registreer deze met behulp van het nieuwe ISO-bestand voor de configuratie. Zie Meer knooppunten aanmaken en registreren voor meer gedetailleerde instructies. Installeer de HDS-host OVA. Stel de HDS VM in. Koppel het bijgewerkte configuratiebestand aan. Registreer het nieuwe knooppunt in Partner Hub.
3	Voor bestaande HDS-knooppunten waarop het oudere configuratiebestand wordt uitgevoerd, koppelt u het ISO-bestand aan. Voer op elk knooppunt beurtelings de volgende procedure uit, waarbij u elk knooppunt bijwerkt voordat u het volgende knooppunt uitschakelt: Voor VMware-implementaties: Zet de virtuele HDS-machine uit. Selecteer in de VMware vSphere Client de virtuele HDS-machine. Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken. Selecteer een CD/DVD-station 1. Als er momenteel een ISO-bestand is bijgevoegd, moet u dat loskoppelen voordat u verder gaat. Selecteer Datastore ISO File en selecteer vervolgens het nieuwe ISO-bestand voor de configuratie. Selecteer Aangesloten en Aansluiten wanneer het apparaat wordt ingeschakeld. Sla de wijzigingen op en zet de virtuele machine aan. Voor NFVIS-implementaties: Navigeer naar Configuratie > Virtuele machine > Images > Image Repository en upload het nieuwe ISO-configuratiebestand naar de NFVIS-beeldbank. Navigeer naar Configuratie > Virtuele machine > Beheer en selecteer de virtuele HDS-machine. Zet de virtuele HDS-machine uit en wacht tot de status verandert in Shutdown. CD-ROM-apparaten openen. Als er momenteel een ISO-bestand is bijgevoegd, ontkoppel het dan en controleer of er geen ISO-bestand bijgevoegd blijft. Selecteer Bijvoegen en selecteer vervolgens het zojuist geüploade ISO-configuratiebestand. Voltooi de bewerking en controleer of het nieuwe ISO-bestand voor de configuratie in de lijst staat. Start de virtuele HDS-machine. Voor Nutanix-implementaties: Ga in Prism Central naar Infrastructuur > Compute > Images. Selecteer Afbeelding toevoegen. Selecteer onder Afbeeldingsbron de optie Afbeeldingsbestand en selecteer vervolgens Bestand toevoegen. Selecteer de nieuwe ISO-configuratie en controleer of Type is ingesteld op ISO. Voltooi de locatieselectie voor het doelcluster en voltooi de upload. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt. Open het tabblad Schijven van de VM. Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen. Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power On. Bevestig dat er gedurende ten minste 15 minuten geen alarmen optreden.
4	Herhaal stap 3 om de configuratie te vervangen op elk overblijvend knooppunt waarop de oude configuratie wordt uitgevoerd.

Schakel de modus voor geblokkeerde externe DNS-resolutie uit

Wanneer u een node registreert of de proxyconfiguratie van het knooppunt controleert, worden de DNS-lookup en de connectiviteit met de Cisco Webex cloud getest. Als de DNS-server van het knooppunt geen openbare DNS-namen kan oplossen, gaat het knooppunt automatisch over naar de modus Geblokkeerde externe DNS-resolutie.

Als uw nodes openbare DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxyverbindingstest op elk knooppunt opnieuw uit te voeren.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers openbare DNS-namen kunnen omzetten en dat uw nodes met hen kunnen communiceren.

1	Open in een webbrowser de interface van het Hybrid Data Security-knooppunt (IP-adres/instellingen, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersgegevens in die u voor het knooppunt hebt ingesteld en klik vervolgens op Aanmelden.
2	Ga naar Overzicht (de standaardpagina). Indien ingeschakeld, is Blocked External DNS Resolution ingesteld op Ja.
3	Ga naar de pagina Trust Store & Proxy.
4	Klik op Proxyverbinding controleren. Als u een bericht ziet waarin staat dat de externe DNS-resolutie niet is gelukt, kon het knooppunt de DNS-server niet bereiken en blijft het in deze modus. Anders, nadat u de node opnieuw hebt opgestart en bent teruggegaan naar de overzichtspagina, moet de Blocked External DNS Resolution worden ingesteld op nee.

Wat nu te doen

Herhaal de proxyverbindingstest op elk knooppunt in uw Hybrid Data Security-cluster.

Een node verwijderen

Gebruik deze procedure om een Hybrid Data Security-knooppunt uit de Webex-cloud te verwijderen. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de beheerinterface voor de hypervisor in uw implementatie om de virtuele HDS-machine te lokaliseren en uit te schakelen.

2

Verwijder het knooppunt:

Meld u aan bij Partner Hub en selecteer vervolgens Services.
Klik op de Hybrid Data Security-kaart op Alles weergeven om de pagina Hybrid Data Security Resources weer te geven.
Selecteer uw cluster om het overzichtspaneel weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Deregistreren van dit knooppunt op het paneel dat aan de rechterkant verschijnt.
U kunt het knooppunt ook deregistreren door op... aan de rechterkant van het knooppunt te klikken en Knooppunt deregistreren te selecteren.

3

Gebruik de beheerinterface voor de hypervisor tijdens uw implementatie om de virtuele HDS-machine te lokaliseren en te verwijderen.

Als u de VM niet verwijdert, vergeet dan niet het ISO-configuratiebestand te ontkoppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken om toegang te krijgen tot uw beveiligingsgegevens.

Stand-by datacenter voor noodherstel

Tijdens de implementatie hebt u een beveiligd datacenter in stand-by opgezet. In het geval van een datacenterramp kunt u uw implementatie handmatig uitzetten naar het standby-datacenter.

De databases van de actieve datacenters en de stand-bydatacenters zijn met elkaar gesynchroniseerd, waardoor de tijd die nodig is om de failover uit te voeren tot een minimum wordt beperkt.

De actieve hybride gegevensbeveiligingsknooppunten moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Stel een stand-by datacenter in voor noodherstel

Volg de onderstaande stappen om het ISO-bestand van het standby-datacenter te configureren:

Voordat u begint

Het standby-datacenter moet een afspiegeling zijn van de productieomgeving van VM's en een back-up van een PostgreSQL- of Microsoft SQL Server-database. Als de productie bijvoorbeeld drie VM's heeft waarop HDS-knooppunten draaien, moet de back-upomgeving uit 3 VM's bestaan. (Zie Standby Data Center for Disaster Recovery voor een overzicht van dit failovermodel.)
Zorg ervoor dat de databasesynchronisatie is ingeschakeld tussen de database van actieve en passieve clusterknooppunten.

1	Start de HDS Setup tool en volg de stappen die worden vermeld in Create a Configuration ISO for the HDS Hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden uitgevoerd.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe om het knooppunt in passieve modus te zetten. In deze modus wordt het knooppunt geregistreerd bij de organisatie en verbonden met de cloud, maar kan het geen verkeer verwerken. `passiveMode: 'true'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een locatie op die gemakkelijk te vinden is.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Bewaar de reservekopie veilig. Dit bestand bevat een hoofdcoderingssleutel voor de inhoud van de database. Beperk de toegang tot alleen die Hybrid Data Security-beheerders die wijzigingen in de configuratie moeten aanbrengen.
6	Koppel het ISO-bestand voor de configuratie: Voordat u de nieuwe ISO-configuratie monteert: Schakel de HDS-node uit. Controleer of er momenteel geen ISO-bestand is bijgevoegd. Als er een ISO-bestand is bijgevoegd, moet u dat loskoppelen voordat u verder gaat. Voor VMware-implementaties: Selecteer in de VMware vSphere Client de virtuele HDS-machine. Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken. Selecteer een CD/DVD-station 1. Selecteer Datastore ISO File en selecteer vervolgens het nieuwe ISO-bestand voor de configuratie. Zorg ervoor dat Connected en Connect at power on zijn geselecteerd. Sla de wijzigingen op. Voor NFVIS-implementaties: Navigeer naar Configuratie > Virtuele machine > Images > Image Repository en upload het nieuwe ISO-configuratiebestand naar de NFVIS-beeldbank. Navigeer naar Configuratie > Virtuele machine > Beheer en selecteer de virtuele HDS-machine. Open CD-ROM-apparaten en controleer of er momenteel geen ISO-bestand is bijgevoegd. Selecteer Bijvoegen en selecteer vervolgens het zojuist geüploade ISO-configuratiebestand. Voltooi de bewerking en controleer of het nieuwe ISO-bestand voor de configuratie is bijgevoegd. Voor Nutanix-implementaties: Ga in Prism Central naar Infrastructuur > Compute > Images. Selecteer Afbeelding toevoegen. Selecteer onder Afbeeldingsbron de optie Afbeeldingsbestand en selecteer vervolgens Bestand toevoegen. Selecteer de nieuwe ISO-configuratie en controleer of Type is ingesteld op ISO. Voltooi de locatieselectie voor het doelcluster en voltooi de upload. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt. Open het tabblad Schijven van de VM. Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen. Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM.
7	Zet de HDS-node aan en zorg ervoor dat er gedurende minstens 15 minuten geen alarmen zijn.
8	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslogs om te controleren of de knooppunten zich in passieve modus bevinden. U zou het bericht „KMS geconfigureerd in passieve modus” in de syslogs moeten kunnen zien.

Wat nu te doen

Nadat u PassiveMode in het ISO-bestand hebt geconfigureerd en opgeslagen, kunt u nog een kopie van het ISO-bestand maken zonder de PassiveMode-configuratie en dat op een veilige locatie opslaan. Deze kopie van het ISO-bestand zonder dat PassiveMode is geconfigureerd, kan helpen bij een snel failoverproces tijdens noodherstel. Zie Noodherstel met behulp van Standby Data Center voor de gedetailleerde failoverprocedure.

Noodherstel met behulp van een standby-datacenter

De belangrijkste service die uw Hybrid Data Security-cluster biedt, is het aanmaken en opslaan van sleutels die worden gebruikt voor het versleutelen van berichten en andere inhoud die is opgeslagen in de Webex-cloud. Voor elke gebruiker binnen de organisatie die is toegewezen aan Hybrid Data Security, worden nieuwe aanvragen voor het aanmaken van sleutels naar het cluster gestuurd. Het cluster is ook verantwoordelijk voor het teruggeven van de sleutels die het heeft aangemaakt aan alle gebruikers die gemachtigd zijn om ze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de cruciale functie vervult, namelijk het verstrekken van deze sleutels, is het absoluut noodzakelijk dat het cluster actief blijft en dat de juiste back-ups worden bijgehouden. Verlies van de Hybrid Data Security-database of van de configuratie-ISO die voor het schema wordt gebruikt, zal resulteren in een ONHERSTELBAAR VERLIES van klantcontent. De volgende praktijken zijn verplicht om een dergelijk verlies te voorkomen:

Als een noodsituatie ervoor zorgt dat de HDS-implementatie in het primaire datacenter niet meer beschikbaar is, volg dan deze procedure om handmatig over te schakelen naar het stand-bydatacenter.

Voordat u begint

Gebruik het meest recente ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat eerder actief was, om de failoverprocedure uit te voeren die hieronder wordt vermeld.

1	Start de HDS Setup tool en volg de stappen die worden vermeld in Create a Configuration ISO for the HDS Hosts.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe of verwijder de `PassiveMode-configuratie` om de node actief te maken. Het knooppunt kan het verkeer verwerken als dit eenmaal is geconfigureerd. `passiveMode: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een locatie op die gemakkelijk te vinden is.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Bewaar de reservekopie veilig. Dit bestand bevat een hoofdcoderingssleutel voor de inhoud van de database. Beperk de toegang tot alleen die Hybrid Data Security-beheerders die wijzigingen in de configuratie moeten aanbrengen.
6	Koppel het ISO-bestand voor de configuratie: Voordat u de nieuwe ISO-configuratie monteert: Schakel de HDS-node uit. Controleer of er momenteel geen ISO-bestand is bijgevoegd. Als er een ISO-bestand is bijgevoegd, moet u dat loskoppelen voordat u verder gaat. Voor VMware-implementaties: Selecteer in de VMware vSphere Client de virtuele HDS-machine. Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken. Selecteer een CD/DVD-station 1. Selecteer Datastore ISO File en selecteer vervolgens het nieuwe ISO-bestand voor de configuratie. Zorg ervoor dat Connected en Connect at power on zijn geselecteerd. Sla de wijzigingen op. Voor NFVIS-implementaties: Navigeer naar Configuratie > Virtuele machine > Images > Image Repository en upload het nieuwe ISO-configuratiebestand naar de NFVIS-beeldbank. Navigeer naar Configuratie > Virtuele machine > Beheer en selecteer de virtuele HDS-machine. Open CD-ROM-apparaten en controleer of er momenteel geen ISO-bestand is bijgevoegd. Selecteer Bijvoegen en selecteer vervolgens het zojuist geüploade ISO-configuratiebestand. Voltooi de bewerking en controleer of het nieuwe ISO-bestand voor de configuratie is bijgevoegd. Voor Nutanix-implementaties: Ga in Prism Central naar Infrastructuur > Compute > Images. Selecteer Afbeelding toevoegen. Selecteer onder Afbeeldingsbron de optie Afbeeldingsbestand en selecteer vervolgens Bestand toevoegen. Selecteer de nieuwe ISO-configuratie en controleer of Type is ingesteld op ISO. Voltooi de locatieselectie voor het doelcluster en voltooi de upload. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt. Open het tabblad Schijven van de VM. Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen. Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM.
7	Zet de HDS-node aan en zorg ervoor dat er gedurende minstens 15 minuten geen alarmen zijn.
8	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslog-uitvoer om te controleren of de knooppunten van het standby-datacenter niet in passieve modus staan. „KMS geconfigureerd in passieve modus” zou niet in de syslogs moeten voorkomen.

Wat nu te doen

Als het primaire datacenter na een failover weer actief wordt, zet u het stand-bydatacenter weer in de passieve modus door de stappen te volgen die zijn beschreven in Een stand-bydatacenter instellen voor noodherstel.

(Optioneel) ISO ontkoppelen na de HDS-configuratie

De standaard HDS-configuratie werkt met de ISO aangekoppeld. Maar sommige klanten geven er de voorkeur aan om ISO-bestanden niet continu te laten mounten. U kunt het ISO-bestand ontkoppelen nadat alle HDS-knooppunten de nieuwe configuratie hebben overgenomen.

U gebruikt de ISO-bestanden nog steeds om de configuratie te wijzigen. Wanneer u een nieuwe ISO aanmaakt of een ISO bijwerkt via de Setup Tool, moet u de bijgewerkte ISO op al uw HDS-knooppunten mounten. Zodra al uw nodes de wijzigingen in de configuratie hebben verwerkt, kunt u met deze procedure de ISO opnieuw ontkoppelen.

Voordat u begint

Upgrade al uw HDS-knooppunten naar versie 2025.06.02.6983 of hoger.

Koppel het ISO-bestand voor de configuratie los.

Voor VMware-implementaties:

Eén HDS-node uitschakelen.
Selecteer in de VMware vSphere-client de virtuele HDS-machine.
Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken.
Selecteer CD/DVD-station 1 en koppel het aangekoppelde ISO-configuratiebestand los.
Schakel Connected and Connect uit bij het inschakelen en sla de wijzigingen op.
Zet de HDS-node aan en controleer of er gedurende minstens 20 minuten geen alarmen optreden.
Herhaal deze stappen voor de resterende HDS-knooppunten, één voor één.

Voor NFVIS-implementaties:

Navigeer naar Configuratie > Virtuele machine > Eén virtuele HDS-machine beheren en selecteren.
Zet de VM uit en wacht tot de status verandert in Shutdown.
CD-ROM-apparaten openen.
Selecteer het bijgevoegde ISO-bestand voor de configuratie en klik op Ontkoppelen.
Controleer of het ISO-bestand niet langer is gekoppeld aan de virtuele machine.
Start het HDS-knooppunt en controleer of er gedurende minstens 20 minuten geen alarmen optreden.
Herhaal deze stappen voor de resterende HDS-knooppunten, één voor één.

Voor Nutanix-implementaties:

Ga naar Infrastructuur > Compute > VM's en selecteer één virtuele HDS-machine.
Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt.
Open het tabblad Schijven van de VM.
Selecteer de ISO-invoer voor de configuratie waarvan het type een cd-rom is.
Klik op Uitwerpen.
Bevestig dat de configuratie-ISO niet langer is aangekoppeld.
Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power On.
Bevestig dat er gedurende ten minste 15 minuten geen alarmen optreden.
Herhaal deze stappen voor de resterende HDS-knooppunten, één voor één.

Problemen met hybride gegevensbeveiliging oplossen

Waarschuwingen bekijken en problemen oplossen

Een implementatie van hybride gegevensbeveiliging wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn, of als het cluster zo langzaam werkt dat er een time-out wordt aangevraagd. Als gebruikers uw Hybrid Data Security-cluster niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe spaties worden aangemaakt (kan geen nieuwe sleutels aanmaken)
Berichten en ruimtetitels kunnen niet worden ontcijferd voor:
- Nieuwe gebruikers toegevoegd aan een space (niet in staat om sleutels op te halen)
- Bestaande gebruikers in een ruimte die een nieuwe client gebruikt (niet in staat om sleutels op te halen)
Bestaande gebruikers in een ruimte zullen succesvol blijven werken zolang hun klanten een cache met coderingssleutels hebben

Het is belangrijk dat u uw Hybrid Data Security-cluster goed in de gaten houdt en eventuele waarschuwingen onmiddellijk behandelt om onderbreking van de dienstverlening te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van Hybrid Data Security, geeft Partner Hub waarschuwingen weer aan de beheerder van de organisatie en stuurt e-mails naar het geconfigureerde e-mailadres. De waarschuwingen hebben betrekking op veel voorkomende scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om ze op te lossen
Waarschuwing	Actie
Fout bij de toegang tot de lokale database.	Controleer op databasefouten of problemen met het lokale netwerk.
De verbinding met de lokale database is mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste inloggegevens voor het serviceaccount zijn gebruikt bij de configuratie van het knooppunt.
De toegang tot de cloudservice is mislukt.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Externe connectiviteitsvereisten.
Verlenging van de registratie voor clouddiensten.	De registratie voor clouddiensten is ingetrokken. De verlenging van de registratie is bezig.
De registratie van de clouddienst is ingetrokken.	De registratie voor clouddiensten is beëindigd. De service wordt stopgezet.
De service is nog niet geactiveerd.	Activeer HDS in de Partner Hub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Controleer of uw servercertificaat overeenkomt met het geconfigureerde activeringsdomein voor de service. De meest waarschijnlijke oorzaak is dat het certificaat CN onlangs is gewijzigd en nu anders is dan het CN dat werd gebruikt tijdens de eerste installatie.
Authenticatie bij cloudservices is mislukt.	Controleer of de inloggegevens van uw serviceaccount correct zijn en of deze verlopen zijn.
Kon het lokale keystore-bestand niet openen.	Controleer de integriteit en de nauwkeurigheid van het wachtwoord in het lokale keystore-bestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwdeCertificate Authority.
Kan geen statistieken publiceren.	Controleer de toegang tot externe clouddiensten op het lokale netwerk.
De map /media/configdrive/hds bestaat niet.	Controleer de ISO-mount-configuratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om te worden gekoppeld wanneer het opnieuw wordt opgestart, en of het met succes wordt gekoppeld.
De installatie van de tenantorganisatie is niet voltooid voor de toegevoegde organisaties	Voltooi de installatie door CMK's te maken voor nieuw toegevoegde huurdersorganisaties met behulp van de HDS Setup Tool.
De installatie van de tenantorganisatie is niet voltooid voor de verwijderde organisaties	Voltooi de installatie door CMK's in te trekken van tenantorganisaties die zijn verwijderd met behulp van de HDS Setup Tool.

Problemen met hybride gegevensbeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybrid Data Security.

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in de sectie Hybrid Data Security naar Hybrid Data Security en klik op Gebeurtenissen.
4	Bekijk de pagina met de geschiedenis van gebeurtenissen op eventuele waarschuwingen en corrigeer eventuele items die u daar aantreft. Zie de afbeelding hieronder ter referentie.
5	Controleer de uitvoer van de syslogserver op activiteiten uit de Hybrid Data Security-implementatie. Filter op woorden zoals „Waarschuwing” en „Fout” om te helpen bij het oplossen van problemen.
6	Neem contact op met de klantenservice van Cisco.

API's voor ontwikkelaars van HDS

De HDS Developer API's zijn een manier om analyse- en bewakingsgegevens op te halen en om problemen met uw HDS-implementaties op te lossen via de Webex Developer Portal. De API's zijn beschikbaar op https://developer.webex.com/messaging/docs/api/v1/hds.

Andere notities

Bekende problemen op het gebied van hybride gegevensbeveiliging

Als u al uw actieve Hybrid Data Security-clusters afsluit (door ze te verwijderen in Partner Hub of door alle knooppunten uit te schakelen), uw ISO-configuratiebestand kwijtraakt of de toegang tot de keystore-database verliest, kunnen Webex App-gebruikers van klantorganisaties niet langer spaties gebruiken in hun lijst met personen die zijn gemaakt met sleutels uit uw KMS. We hebben momenteel geen oplossing of oplossing voor dit probleem en raden u aan uw HDS-diensten niet af te sluiten zodra ze actieve gebruikersaccounts hebben verwerkt.
Een klant die een bestaande ECDH-verbinding met een KMS heeft, onderhoudt die verbinding gedurende een bepaalde periode (waarschijnlijk een uur).

HDS op NFVIS implementeren en configureren

Volg de onderstaande procedures om HDS te implementeren op een NFVIS-hypervisor. Het proces omvat de installatie van de HDS OVA, het instellen van de VM, het koppelen van de configuratie-ISO en het verifiëren van de implementatie.

Installeer de HDS Host OVA op NFVIS

Voordat u begint

Voldoe aan de vereisten voor hybride gegevensbeveiliging en download de nieuwste HDS OVA. Hernoem het bestand met de indeling hds-.ova voor tracering; bijvoorbeeld hds-26-aug-2026.ova. <DD-MMM-YYYY>
Creëer de ISO voor de HDS-configuratie en sla deze veilig op. De ISO bevat de hoofdcoderingssleutel.
Verzamel het statische IP-adres, het subnetmasker, de gateway, de DNS-server, de NTP-server en de NFVIS-netwerknaam van het knooppunt.
Bevestig dat u NFVIS-beheerderstoegang hebt en dat u voldoende capaciteit hebt om ten minste 4 vCPU's, 8 GB geheugen en 30 GB opslag per HDS-node toe te wijzen.

1	Meld u aan bij de NFVIS-interface en ga naar Configuratie > Virtuele machine > Afbeeldingen > Image Repository.
2	Kies de optie LOCAL en upload uw hernoemde HDS OVA-bestand (bijvoorbeeld hds-26-aug-2026.ova).
3	Stel het VM-werklasttype in op Calling en het VM-type op ECP/VIDEO MESH en selecteer vervolgens Bestand uploaden.
4	Houd de voortgang van het uploaden in de gaten tot de upload voltooid is.
5	Bevestig dat de geüploade OVA als actief is gemarkeerd en dat NFVIS met succes het bijbehorende aangepaste OVA-profiel heeft aangemaakt.

De hybride VM voor gegevensbeveiliging instellen op NFVIS

1	Navigeer naar Configuratie > Implementeren en selecteer ECP/VIDEO MESH in het menu Selecteer VM.
2	Voer een unieke VM-naam in, selecteer de eerder geüploade HDS-image en kies het bijbehorende aangepaste OVA-profiel in de sectie Implementatiegegevens.
3	Selecteer DEPLOY en wacht op de melding dat de implementatie is geslaagd.
4	Navigeer naar Configuratie > Virtuele machine > Beheer om te controleren of de nieuwe HDS VM actief is.
5	Ga terug naar Configuratie > Implementeren, selecteer de HDS VM en gebruik de keuzelijst Netwerkinterfaces om deze aan het vereiste WAN-netwerk te koppelen.
6	Selecteer DEPLOY om de wijzigingen in de netwerkconfiguratie toe te passen.

Upload en koppel de HDS-configuratie-ISO

1	Zorg ervoor dat het ISO-bestand met de HDS-configuratie naar de beeldbank is geüpload via Configuration > Virtual Machine > Images > Image Repository voordat u verder gaat.
2	Open de terminal voor de HDS VM via Configuratie > Virtuele machine > Beheer en voer de eerste aanmelding uit met de standaardreferenties. `Gebruikersnaam: admin` `Wachtwoord: ciscosystems`
3	Wijzig de inloggegevens van de beheerder wanneer daarom wordt gevraagd.
4	Configureer de statische IP-adres-, subnetmasker-, gateway-, DNS- en NTP-instellingen van het knooppunt met behulp van de optie Configuratie bewerken.
5	Schakel de HDS VM uit om het montageproces te vergemakkelijken.
6	Open het VM-actiemenu, selecteer de CD-ROM en kies de HDS-configuratie-ISO om deze aan de VM te koppelen.
7	Zet de VM aan en controleer of deze succesvol start als de configuratie-ISO is geïnstalleerd.

Wat nu te doen

Ga zo nodig verder met Configure the Node for Proxy Integration en ga dan verder met Registreer het eerste knooppunt in het cluster.

HDS implementeren en configureren op Nutanix

Volg de onderstaande procedures om HDS te implementeren op een Nutanix-hypervisor. Het proces omvat de installatie van de HDS OVA, het instellen van de VM, het koppelen van de configuratie-ISO en het verifiëren van de implementatie.

Installeer de HDS Host OVA op Nutanix

Gebruik deze procedure om het HDS OVA-bestand in Nutanix te importeren.

1	Download de nieuwste HDS OVA.
2	Ga in Prism Central naar Infrastructuur > Compute > OVA's.
3	Selecteer OVA uploaden.
4	Kies de OVA-bron en selecteer het doelcluster.
5	Geef de geüploade OVA een unieke en herkenbare naam. Vermeld de versie of uploaddatum, zodat beheerders deze kunnen onderscheiden van oudere OVA-versies.
6	Voltooi de upload.
7	Controleer in de OVA-lijst of Disk Format wordt weergegeven als VMDK.

Creëer de hybride VM voor gegevensbeveiliging op Nutanix

Gebruik deze procedure om de virtuele HDS-machine te maken.

1	Ga in Prism Central naar Infrastructuur > Compute > OVA's.
2	Selecteer de succesvol geüploade HDS OVA.
3	Selecteer Implementeer als VM.
4	Voer een unieke, herkenbare VM-naam in en selecteer het doelcluster.
5	Controleer of de OVA de volgende VM-eigenschappen heeft ingevuld: 4 vCPU's 8 GB geheugen
6	Klik op Volgende. De wizard Hulpbronnen wordt geopend.
7	Controleer in de tabel Bronnen > Schijven of de aangesloten schijf een grootte heeft van 30 GB.
8	Koppel het juiste subnet of VLAN met behulp van de optie Attach to Subnet en stel de status van de netwerkverbinding in op Connected. Als de wizard een leeg of standaard netwerkitem bevat met de melding Geen netwerk gevonden voor het VM-netwerk, verwijder dat item dan. De ongeldige invoer kan voorkomen dat de wizard doorgaat, zelfs nadat het juiste subnet is aangesloten.
9	Selecteer UEFI als BIOS-modus en klik op Next. De beheerwizard wordt geopend.
10	Laat de categorieën leeg, tenzij de organisatie de categorieën vereist.
11	Selecteer de juiste tijdzone.
12	Selecteer Geen aanpassing op de gastaanpassingskaart en klik op Volgende.
13	Controleer de instellingen en selecteer Create VM.

Upload en koppel de HDS-configuratie-ISO

1	Ga in Prism Central naar Infrastructuur > Compute > VM's.
2	Selecteer de gebruikte HDS VM. Selecteer op het tabblad Samenvatting de optie Energiebeheer > Inschakelen. Wacht een paar minuten totdat de VM is opgestart.
3	Klik op Start Console. Voer de eerste aanmelding uit met de standaardreferenties. `Gebruikersnaam: admin` `Wachtwoord: ciscosystems`
4	Wijzig de inloggegevens van de beheerder wanneer daarom wordt gevraagd.
5	Configureer de statische IP-adres-, subnetmasker-, gateway-, DNS- en NTP-instellingen van het knooppunt met behulp van de optie Configuratie bewerken.
6	Schakel de HDS VM uit voordat u de ISO aansluit. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt.
7	Open het tabblad Schijven van de VM.
8	Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen.
9	Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA
10	Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM.
11	Selecteer op het tabblad Samenvatting van de VM de optie Energiebeheer > Inschakelen en zorg ervoor dat er gedurende minstens 15 minuten geen alarmen zijn.

Wat nu te doen

Ga zo nodig verder met Configure the Node for Proxy Integration en ga dan verder met Registreer het eerste knooppunt in het cluster.

Migreer HDS-knooppunten tussen ondersteunde hypervisors

Gebruik deze procedure om HDS-knooppunten te verplaatsen van de ene ondersteunde hypervisor naar de andere. Bestaande virtuele HDS-machines worden niet rechtstreeks tussen hypervisors gemigreerd. Implementeer in plaats daarvan vervangende knooppunten op de doelhypervisor en registreer ze bij het bestaande of nieuwe HDS-cluster.

Voordat u begint

Maak een back-up van de HDS-database en de huidige ISO-configuratie.
Bevestig dat de doelhypervisor en virtuele hosts voldoen aan de vereisten voor de implementatie van HDS.
Controleer of het bestaande HDS-cluster gezond is en dat de resterende knooppunten het verkeer kunnen blijven verwerken terwijl u een knooppunt vervangt.
Bepaal of elk vervangend knooppunt het IP-adres en de FQDN van het bronknooppunt zal hergebruiken of nieuwe netwerkinstellingen zal gebruiken.
Gebruik de huidige ISO-configuratie en de bestaande HDS-database voor de vervangende knooppunten.

Als de verhuizing ook het actieve datacenter, de databaseserver of de HDS-configuratie wijzigt, zie De knooppuntconfiguratie wijzigen en het standby-datacenter voor noodherstel wijzigen voordat u verder gaat.

1	Selecteer één HDS-knooppunt op de bronhypervisor om te vervangen. Laat alle andere knooppunten actief en geregistreerd blijven.
2	Bereid de netwerkconfiguratie voor het vervangende knooppunt voor: Als u het IP-adres en de FQDN van het bronknooppunt opnieuw gebruikt, schakel dan de bron-VM uit en deregistreer de node voordat u het vervangende knooppunt online brengt. Als u een nieuw IP-adres of FQDN gebruikt, laat dan het bronknooppunt actief en geregistreerd terwijl u het vervangende knooppunt implementeert en valideert. Gebruik de bron- en vervangingsknooppunten niet tegelijkertijd als ze dezelfde netwerkconfiguratie gebruiken.
3	Maak en configureer de vervangende VM op de doelhypervisor. Gebruik de nieuwste HDS OVA en volg de toepasselijke implementatieprocedures voor die hypervisor.
4	Configureer de netwerkinstellingen van de vervangende VM volgens de configuratie die is geselecteerd in stap 2. Volg de installatie-instructies voor de doelhypervisor.
5	Voeg de huidige ISO voor de HDS-configuratie toe. Als uw implementatie een proxy gebruikt, configureer dan de proxy en de trust store zoals beschreven in Configureer het HDS-knooppunt voor proxy-integratie.
6	Registreer het vervangende knooppunt bij het bestaande cluster of een nieuw cluster. Zie Meer knooppunten aanmaken en registreren.
7	Controleer of het vervangende knooppunt gezond is, verbonden is met de Webex-cloud en HDS-verkeer verwerkt. Los eventuele alarmen op voordat u verder gaat.
8	Als het bronknooppunt nog steeds actief is omdat voor de vervanging een nieuwe netwerkconfiguratie wordt gebruikt, schakel dan het bronknooppunt uit en deregistregistreren. Zie Een node verwijderen.
9	Herhaal deze stappen voor elk overblijvend knooppunt op de bronhypervisor. Vervang geen ander knooppunt totdat het cluster gezond is.
10	Als alle vervangende knooppunten stabiel zijn en terugdraaien niet langer nodig is, moet u de originele virtuele machines van de bronhypervisor verwijderen. Als u een originele virtuele machine tijdelijk bewaart, laat deze dan uitgeschakeld en ontkoppel de configuratie-ISO.

Wat nu te doen

Nadat u de vervangende knooppunten hebt geregistreerd, moet u bevestigen dat ze gezond zijn en dat de HDS-implementatie het verkeer verwerkt. Als de implementatie goed is, verwijder dan alle bronknooppunten die nog geregistreerd zijn op de oorspronkelijke hypervisor. Volg, indien van toepassing, de bovenstaande stappen om knooppunten te vervangen in de noodherstelinstallatie.

Voer de HDS Setup Tool uit met Podman Desktop

Podman is een gratis en open-source tool voor containerbeheer die een manier biedt om containers uit te voeren, te beheren en te creëren. Podman Desktop kan worden gedownload op https://podman-desktop.io/downloads.

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Podman op die computer downloaden en uitvoeren. Het installatieproces vereist de inloggegevens van een Control Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving	Variabel
HTTP-proxy zonder authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy zonder authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy met authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de laatste kopie van dit bestand nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals deze:
- Inloggegevens voor de database
- Updates van certificaten
- Wijzigingen in het autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Tijdens het installatieproces van Hybrid Data Security wordt een ISO-bestand gemaakt. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Wat nu te doen

Volg de overige stappen in Een configuratie-ISO aanmaken voor de HDS-hosts of de knooppuntconfiguratie wijzigen om een ISO-configuratie aan te maken of te wijzigen.

Cloud Agents uitschakelen

Cloud Agents (c-agent) zijn vertrouwde Webex-serviceaccounts die namens een gebruiker bewerkingen uitvoeren op HDS via gedelegeerde toegang om de algehele gebruikerservaring te verbeteren. Als u Cloud Agents uitschakelt, wordt de toegang van Webex-services tot lokale HDS-sleutels geblokkeerd.

Als u cloud agents uitschakelt, gaan functies verloren, zoals opnames na een vergadering, transcripties, bestandsvoorbeelden en automatische antimalwarescanning in Webex App Spaces.

Volg de onderstaande stappen om cloud agents uit te schakelen voor uw HDS-implementatie.

1	Start de HDS Setup tool en volg de stappen die worden vermeld in Create a Configuration ISO for the HDS Hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden uitgevoerd.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen.
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe om cloud agents uit te schakelen. Dit zorgt ervoor dat cloudagenten geen HDS-verkeer mogen verwerken. `cloudAgentUpdateEnabled: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een locatie op die gemakkelijk te vinden is.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Bewaar de reservekopie veilig. Dit bestand bevat een hoofdcoderingssleutel voor de inhoud van de database. Beperk de toegang tot alleen die Hybrid Data Security-beheerders die wijzigingen in de configuratie moeten aanbrengen.
6	Koppel het ISO-bestand voor de configuratie: Voordat u de nieuwe ISO-configuratie monteert: Schakel de HDS-node uit. Controleer of er momenteel geen ISO-bestand is bijgevoegd. Als er een ISO-bestand is bijgevoegd, moet u dat loskoppelen voordat u verder gaat. Voor VMware-implementaties: Selecteer in de VMware vSphere Client de virtuele HDS-machine. Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken. Selecteer een CD/DVD-station 1. Selecteer Datastore ISO File en selecteer vervolgens het nieuwe ISO-bestand voor de configuratie. Zorg ervoor dat Connected en Connect at power on zijn geselecteerd. Sla de wijzigingen op. Voor NFVIS-implementaties: Navigeer naar Configuratie > Virtuele machine > Images > Image Repository en upload het nieuwe ISO-configuratiebestand naar de NFVIS-beeldbank. Navigeer naar Configuratie > Virtuele machine > Beheer en selecteer de virtuele HDS-machine. Open CD-ROM-apparaten en controleer of er momenteel geen ISO-bestand is bijgevoegd. Selecteer Bijvoegen en selecteer vervolgens het zojuist geüploade ISO-configuratiebestand. Voltooi de bewerking en controleer of het nieuwe ISO-bestand voor de configuratie is bijgevoegd. Voor Nutanix-implementaties: Ga in Prism Central naar Infrastructuur > Compute > Images. Selecteer Afbeelding toevoegen. Selecteer onder Afbeeldingsbron de optie Afbeeldingsbestand en selecteer vervolgens Bestand toevoegen. Selecteer de nieuwe ISO-configuratie en controleer of Type is ingesteld op ISO. Voltooi de locatieselectie voor het doelcluster en voltooi de upload. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt. Open het tabblad Schijven van de VM. Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen. Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM.
7	Zet de HDS-node aan en zorg ervoor dat er gedurende minstens 15 minuten geen alarmen zijn.
8	Herhaal dit proces voor elk knooppunt in uw HDS-implementatie. Controleer of Cloud Agents zijn uitgeschakeld door in de syslogs te zoeken naar de volgende vermelding: 'Cloud Agent update uitgeschakeld'.

Verplaats de bestaande HDS-implementatie met één tenant van een partnerorganisatie in Control Hub naar een HDS-opstelling met meerdere huurders in Partner Hub

De conversie van een bestaande HDS-implementatie met één tenant van een partnerorganisatie die wordt beheerd in Control Hub naar een HDS-implementatie met meerdere huurders die wordt beheerd in Partner Hub omvat voornamelijk het deactiveren van de HDS-service in Control Hub, het de-registreren van knooppunten en het verwijderen van het cluster. U kunt zich dan aanmelden bij Partner Hub, de nodes registreren, Multi-Tenant HDS activeren en klanten aan uw cluster toevoegen.

De term „single-tenant” verwijst gewoon naar een bestaande HDS-implementatie in Control Hub.

HDS deactiveren, nodes deregistreren en alle clusters verwijderen in Control Hub

1	Meld u aan bij Control Hub. Klik in het linkervenster op Hybrid. Klik op de Hybrid Data Security-kaart op Instellingen bewerken.
2	Blader op de instellingenpagina omlaag naar de sectie Deactiveren en klik op Deactiveren.
3	Klik na de deactivering op het tabblad Bronnen.
4	Op de pagina Hulpbronnen worden clusters in uw HDS-implementatie opgesomd. Klik op een cluster en er wordt een pagina geopend met alle knooppunten onder dat cluster.
5	Klik aan de rechterkant en klik op Knooppunt deregistreren. Herhaal dit proces voor alle knooppunten in het cluster.
6	Als uw implementatie meerdere clusters heeft, herhaal dan stap 4 en stap 5 totdat alle knooppunten zijn afgemeld.
7	Klik op Clusterinstellingen > Verwijderen.
8	Klik op Verwijderen bevestigen om de cluster te deregistreren.
9	Herhaal dit proces voor alle clusters in uw HDS-implementatie. Na de deactivering van de HDS, de deregistratie van knooppunten en het verwijderen van clusters wordt de installatie niet voltooid op de Hybrid Data Service-kaart op de Control Hub onderaan weergegeven.

Activeer Multi-Tenant HDS voor de partnerorganisatie op Partner Hub en voeg klanten toe

Voordat u begint

Alle vereisten die zijn vermeld in de vereisten voor hybride gegevensbeveiliging voor meerdere huurders zijn hier van toepassing. Zorg er bovendien voor dat dezelfde database en certificaten worden gebruikt tijdens de overstap naar Multi-Tenant HDS.

1	Meld u aan bij Partner Hub. Klik op Services in het linkervenster. Gebruik dezelfde ISO van uw vorige HDS-implementatie om de knooppunten te configureren. Dit zorgt ervoor dat berichten en inhoud die door de gebruikers in de vorige bestaande HDS-implementatie zijn gegenereerd, nog steeds toegankelijk zijn in de nieuwe Multi-Tenant-configuratie.
2	Zoek in het gedeelte Hybrid naar de Hybrid Data Security-kaart en klik op Instellen.
3	Klik op de pagina die wordt geopend op Een bron toevoegen.
4	Voer in het eerste veld van Create a clusterkaart een naam in voor het cluster waaraan u uw Hybrid Data Security-knooppunt wilt toewijzen. We raden u aan een cluster een naam te geven op basis van waar de knooppunten van het cluster zich geografisch bevinden. Voorbeelden: „San Francisco”, „New York” of „Dallas”
5	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen aan de onderkant van het scherm. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein dat u hebt gebruikt bij de installatie van de Hybrid Data Security VM. Er verschijnt een bericht dat u uw node kunt registreren bij de Webex.
6	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor knooppunten voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina Toegang tot Hybrid Data Security Node toestaan. Daar bevestigt u dat u uw Webex-organisatie toestemming wilt geven voor toegang tot uw node.
7	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht „Registratie voltooid” geeft aan dat uw node nu is geregistreerd in de Webex-cloud. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd, weergegeven op het tabblad Bronnen. Het knooppunt downloadt automatisch de nieuwste software uit de cloud.
8	Ga naar het tabblad Instellingen en klik op Activeren op de HDS-statuskaart. Het geactiveerde HDS-bericht verschijnt aan de onderkant van het scherm.
9	Klik op het tabblad Toegewezen klanten.
10	Klik op Klanten toevoegen.
11	Selecteer de klant die u wilt toevoegen in het keuzemenu.
12	Klik op Toevoegen, de klant wordt aan het cluster toegevoegd.
13	Herhaal de stappen 11 tot en met 13 om meerdere klanten aan uw cluster toe te voegen.
14	Klik op Gereed aan de onderkant van het scherm als u de klanten hebt toegevoegd.

Wat nu te doen

Voer de HDS Setup tool uit zoals beschreven in Create Customer Main Keys (CMK's) met behulp van de HDS Setup tool om het installatieproces te voltooien.

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een hulpmiddel dat kan worden gebruikt om het PKCS12-bestand in het juiste formaat te maken voor het laden in de HDS Setup Tool. Er zijn andere manieren om dit te doen, en we steunen of promoten niet op de een of andere manier.
Als u ervoor kiest om OpenSSL te gebruiken, bieden wij deze procedure als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in de X.509-certificaatvereisten. Begrijp deze vereisten voordat u verder gaat.
OpenSSL installeren in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel aan.
Start deze procedure wanneer u het servercertificaat van uw Certificate Authority (CA) ontvangt.

1	Wanneer u het servercertificaat van uw CA ontvangt, sla het dan op als `hdsnode.pem`.
2	Geef het certificaat weer als tekst en controleer de gegevens. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een teksteditor om een certificaatbundelbestand te maken met de naam `hdsnode-bundle.pem`. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de basiscertificaten van CA bevatten, in het onderstaande formaat: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	`Maak het .p12-bestand met de vriendelijke naam kms-private-key.` `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key out hdsnode.p12`
5	Controleer de gegevens van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te versleutelen, zodat deze in de uitvoer wordt weergegeven. Controleer vervolgens of de privésleutel en het eerste certificaat de regels `FriendlyName:` kms-private-key bevatten. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Wat nu te doen

Ga terug naar Voltooi de vereisten voor hybride gegevensbeveiliging. U gebruikt het bestand hdsnode.p12 en het wachtwoord dat u daarvoor hebt ingesteld in Create a Configuration ISO for the HDS Hosts.

U kunt deze bestanden opnieuw gebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-knooppunten en de cloud

Verkeer voor de verzameling van uitgaande statistieken

De hybride gegevensbeveiligingsknooppunten sturen bepaalde statistieken naar de Webex-cloud. Deze omvatten systeemstatistieken voor heap max, gebruikte heap, CPU-belasting en aantal threads; statistieken over synchrone en asynchrone threads; statistieken over waarschuwingen met een drempelwaarde voor coderingsverbindingen, latentie of lengte van een aanvraagwachtrij; statistieken over de datastore; en statistieken over versleutelingsverbindingen. De knooppunten verzenden versleuteld sleutelmateriaal via een kanaal dat buiten de band ligt (gescheiden van het verzoek).

Inkomend verkeer

De Hybrid Data Security-knooppunten ontvangen de volgende soorten inkomend verkeer van de Webex-cloud:

Encryptieverzoeken van klanten, die worden doorgestuurd door de coderingsdienst
Upgrades naar de node-software

Squid-proxy's configureren voor hybride gegevensbeveiliging

Websocket kan geen verbinding maken via Squid Proxy

Squid-proxy's die HTTPS-verkeer inspecteren, kunnen interfereren met het tot stand brengen van websocketverbindingen (wss:) waarvoor Hybrid Data Security vereist is. In deze gedeelten wordt uitgelegd hoe u verschillende versies van Squid kunt configureren om wss: verkeer te negeren voor een goede werking van de services.

Inktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn toe aan squid.conf:

on_unsupported_protocol tunnel all

Inktvis 3.5.27

We hebben de hybride gegevensbeveiliging met succes getest, waarbij de volgende regels zijn toegevoegd aan squid.conf. Deze regels kunnen worden gewijzigd naarmate we functies ontwikkelen en de Webex-cloud updaten.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Hybride gegevensbeveiliging voor meerdere huurders deactiveren

Taakstroom voor het deactiveren van HDS voor meerdere huurders

Volg deze stappen om Multi-Tenant HDS volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige beheerder van een partner.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	De CMK's van alle klanten intrekken, zoals vermeld in CMK's intrekken van huurders die uit HDS zijn verwijderd. .
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit de Partner Hub op een van de volgende twee manieren. Klik op het cluster dat u wilt verwijderen en selecteer Verwijder dit cluster in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Hulpbronnen op aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina van Hybrid Data Security en klik op HDS Deactiveren op de HDS-statuskaart.

Veelgestelde vragen

Q. Worden de CMK's en de hoofdsleutel opgeslagen in de ISO of de database?

A. De hoofdsleutels van klanten (CMK's) worden opgeslagen in de database en worden versleuteld met de hoofdsleutel, die is opgeslagen in de ISO.

V. Wordt er één sleutel gebruikt om alle gegevens van klantorganisaties te versleutelen?

A. Nee. De gegevens van elke klantenorganisatie worden versleuteld met een eigen CMK (Customer Main Key).

Q. Wat gebeurt er als ik HDS uitschakel via de Partner Hub?

A. Sommige activiteiten, zoals het creëren van een ruimte en het plannen van vergaderingen, zullen onmiddellijk worden beïnvloed. Bestaande inhoud in ruimten blijft toegankelijk totdat de lokale cache is verlopen. Na 24 uur schakelen gebruikers die door de partner worden beheerd over op Cloud KMS, en er kunnen zich problemen voordoen met eerder gemaakte ruimten en één-op-één-ruimten.

Q. Zodra de CMK voor een klantenorganisatie is gegenereerd via de HDS Setup-tool, beginnen gebruikers van de klantenorganisatie dan onmiddellijk gebruik te maken van Multi-Tenant HDS?

A. Er kan een maximale vertraging van 24 uur zijn voordat de cloudcache wordt vernieuwd.

V. Waarom zie ik geen lijst met klanten als ik in de Partner Hub op de knop „Klanten toevoegen” klik?

A. Dit betekent meestal dat er geen klantenorganisaties zijn die voldoen aan de Cisco Webexlicentievereisten.

Q. Wat is het effect als alle HDS-knooppunten worden uitgeschakeld of als een netwerkprobleem gevolgen heeft voor alle HDS-knooppunten?

A. Activiteiten zoals het creëren van ruimtes en het plannen van vergaderingen worden onmiddellijk beïnvloed. Bestaande inhoud is alleen toegankelijk totdat de lokale cache is verlopen.

Q. Zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel die is gegenereerd tijdens het aanmaken van de ISO?

A. Ja. Momenteel worden de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel. In de toekomst zullen partnerorganisaties partnerspecifieke sleutels hebben, vergelijkbaar met CMK's van klanten.

Q. Kunnen de partnerorganisatie en de huurdersorganisaties zich in verschillende regio's bevinden (bijvoorbeeld de VS en de EU)?

A. Ja. Partner- en huurdersorganisaties kunnen zich in verschillende geografische regio's bevinden.

Q. Is er een mechanisme om sleutels terug te verplaatsen naar Cloud KMS?

A. Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Q. Kan een partner Cloud KMS blijven gebruiken en Multi-Tenant HDS uitsluitend gebruiken om klanten te beheren?

A. Nee, dit wordt momenteel niet ondersteund. Ondersteuning voor deze functionaliteit is gepland voor de toekomst.

Q. Hoe kan een partner verifiëren dat zijn organisatie Multi-Tenant HDS gebruikt voor versleuteling?

A. Meld u aan bij de Partner Hub. Ga naar Services > Hybrid Data Security > Instellingen. Als de HDS-status is geactiveerd, gebruiken zowel gebruikers van de partnerorganisatie als toegewezen klanten Multi-Tenant HDS.

Als alternatief kunt u uw syslogs controleren om te controleren of HDS is geactiveerd. Zie Test uw implementatie van hybride gegevensbeveiliging.

Q. Is er een alternatief voor Docker Desktop om de HDS Setup tool uit te voeren?

A. Ja. Pod man Desktop is een open-source alternatief voor Docker Desktop. Zie De HDS Setup Tool uitvoeren met Podman Desktop.

Q. Hoeveel nodes kan ik implementeren in een Multi-Tenant HDS-cluster?

A. We raden minimaal twee en maximaal 1000 nodes aan.

Q. Wat zijn de netwerkvereisten die nodig zijn om Multi-Tenant HDS op te zetten?

A. Zie Vereisten voor externe connectiviteit.

Q. Is Pro Pack for Control Hub een vereiste voor partnerorganisaties?

A. Nee. Pro Pack is geen vereiste voor partnerorganisaties. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij het opzetten van Multi-Tenant HDS.

Q. Wordt HSM ondersteund in Multi-Tenant HDS?

A. Nee, op dit moment ondersteunt Multi-Tenant HDS HSM niet.

Q. Kan ik Multi-Tenant HDS testen met een zelfondertekend certificaat?

A. Nee. Multi-tenant HDS vereist een certificaat dat is opgehaald bij een vertrouwde CA dat voldoet aan alle vereisten die zijn vermeld in de X.509-certificaatvereisten.

Q. Is het nodig om de ISO te installeren telkens wanneer er een nieuwe klant wordt toegevoegd in de Partner Hub?

A. Nee. De ISO hoeft alleen te worden aangekoppeld bij het wijzigen van de ISO-configuraties. Als u een nieuwe klant toevoegt op Partner Hub, zorg er dan voor dat u CMK's kunt aanmaken met behulp van de HDS Setup Tool. Zie Hoofdsleutels voor klanten (CMK's) aanmaken met behulp van de HDS Setup tool.

Q. Beginnen gebruikers van de partnerorganisatie na de implementatie van Multi-Tenant HDS op de Partner Hub gebruik te maken van KMS op locatie voor sleutelbeheer?

A. Gebruikers zullen KMS op locatie pas gaan gebruiken voor sleutelbeheer nadat HDS is geactiveerd in Partner Hub.

Nieuwe en gewijzigde informatie

Deze tabel behandelt nieuwe functies of functies, wijzigingen in bestaande inhoud en alle belangrijke fouten die zijn opgelost in de Deployment Guide for Multi-Tenant Hybrid Data Security.

Datum	Aangebrachte wijzigingen
1 oktober 2026	Sectie Migrate HDS nodes tussen ondersteunde hypervisors toegevoegd.
21 september 2026	Ondersteuning toegevoegd voor Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) hypervisor in Virtual Host Requirements. Ondersteuning toegevoegd voor de Nutanix-hypervisor in Virtual Host Requirements. Sectie HDS implementeren en configureren op NFVIS toegevoegd. Sectie HDS implementeren en configureren op Nutanix toegevoegd. De procedures in de hele gids zijn bijgewerkt met instructies voor de implementatie van NFVIS en Nutanix. De sectie Standby Data Center for Disaster Recovery is verplaatst onder Beheer uw HDS-implementatie.
31 augustus 2026	De vereiste voor het inschakelen van functies voor meerdere huurders is verwijderd uit de sectie Cisco WebexLicentievereisten.
28 augustus 2026	Een kritieke waarschuwing toegevoegd in Expectations for Deploying Hybrid Data Security dat de migratie van hybride gegevensbeveiliging met meerdere huurders naar Webex cloud KMS niet wordt ondersteund en dat de ontmanteling van HDS zal resulteren in het verlies van toegang tot bestaande versleutelde gegevens.
30 juli 2026	De sectie X.509-certificaatvereisten is bijgewerkt om te specificeren dat alleen RSA-certificaten worden ondersteund.
2 juli 2026	Sectie Cloud Agents uitschakelen toegevoegd.
23 juni 2026	Sectie Interpreteren van HDS-logboeken en Understanding Agent Labels toegevoegd.
1 juni 2026	Sectie HDS Developer API's toegevoegd. Een opmerking toegevoegd om de HDS Setup tool uit te voeren via de sectie Podman Desktop.
16 april 2026	Bijgewerkte vereisten voor de databaseserver om ondersteuning toe te voegen voor PostgreSQL versies 17 en 18.
25 maart 2026	Het standaardwachtwoord dat werd gebruikt om in te loggen op de VM van het Hybrid Data Security-knooppunt is bijgewerkt.
5 december 2025	Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts met de juiste UI-tekst op de pagina Systeemlogboeken en een instructie toegevoegd om het syslog-basiscertificaat te uploaden bij de configuratie van TLS-versleuteling.
21 november 2025	Sectie met veelgestelde vragen toegevoegd. Instellen van een standby-datacenter voor noodherstel en noodherstel toegevoegd met behulp van de secties Standby Data Center. Verwijderd (bèta) uit de titel van de implementatiegids.
8 mei 2025	Toegevoegd: Verplaats de bestaande HDS-implementatie met één tenant van een partnerorganisatie in de Control Hub naar een HDS-configuratie met meerdere huurders in de sectie Partner Hub. De syslog-uitvoer is bijgewerkt om de leesbaarheid te verbeteren in de sectie Test Your Hybrid Data Security Deployment. Bijgewerkte vereisten voor virtuele hosts, taakstroom voor de implementatie van hybride gegevensbeveiliging en installatie van de HDS Host OVA om ESXi 8.0-ondersteuning toe te voegen.
4 maart 2025	Run HDS Setup tool toegevoegd met behulp van de Podman Desktop-sectie. Een opmerking toegevoegd in Docker Desktop Requirements waarin klanten een alternatieve opensource-optie krijgen. Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts en wijzig de node-configuratie met instructies om Podman Desktop te gebruiken voor klanten zonder een Docker Desktop-licentie.
30 januari 2025	SQL server versie 2022 toegevoegd aan de lijst met ondersteunde SQL-servers in de vereisten voor de databaseserver.
15 januari 2025	Beperkingen van hybride gegevensbeveiliging voor meerdere huurders toegevoegd.
8 januari 2025	Een opmerking toegevoegd in Voer de eerste installatie uit en download de installatiebestanden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap in het installatieproces is.
7 januari 2025	Bijgewerkte vereisten voor virtuele hosts, taakstroom voor de implementatie van hybride gegevensbeveiliging en installatie van de HDS Host OVA om te voldoen aan de nieuwe vereisten van ESXi 7.0.
13 december 2024	Voor het eerst gepubliceerd.

Ga aan de slag met hybride gegevensbeveiliging voor meerdere huurders

Overzicht van hybride gegevensbeveiliging voor meerdere huurders

Vanaf de eerste dag was gegevensbeveiliging de belangrijkste focus bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is de versleuteling van inhoud van begin tot eind, mogelijk gemaakt door klanten van de Webex App die communiceren met de Key Management Service (KMS). Het KMS is verantwoordelijk voor het aanmaken en beheren van de cryptografische sleutels die klanten gebruiken om berichten en bestanden dynamisch te versleutelen en te ontsleutelen.

Alle klanten van de Webex App krijgen standaard end-to-end encryptie met dynamische sleutels die zijn opgeslagen in het KMS in de cloud, in de beveiligingswereld van Cisco. Hybrid Data Security verplaatst het KMS en andere beveiligingsgerelateerde functies naar het datacenter van uw bedrijf, zodat alleen u de sleutels van uw versleutelde inhoud in handen heeft.

Hybrid Data Security met meerdere huurders stelt organisaties in staat gebruik te maken van HDS via een vertrouwde lokale partner, die als dienstverlener kan optreden en versleuteling en andere beveiligingsdiensten op locatie kan beheren. Deze configuratie geeft de partnerorganisatie volledige controle over de implementatie en het beheer van coderingssleutels en zorgt ervoor dat gebruikersgegevens van klantorganisaties worden beschermd tegen externe toegang. Partnerorganisaties zetten HDS-instanties op en creëren zo nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een gewone HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties controle hebben over de implementatie en het beheer, hebben ze geen toegang tot gegevens en inhoud die door klanten worden gegenereerd. Deze toegang is beperkt tot klantenorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook gebruikmaken van HDS, aangezien de sleutelbeheerdiensten en beveiligingsinfrastructuur, zoals datacenters, eigendom zijn van de vertrouwde lokale partner.

Hoe hybride gegevensbeveiliging met meerdere huurders zorgt voor gegevenssoevereiniteit en gegevenscontrole

Door gebruikers gegenereerde inhoud is beschermd tegen externe toegang, zoals aanbieders van clouddiensten.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een vaste relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het opzetten en beheren van klanten in het kader van een hybride gegevensbeveiligingssysteem voor meerdere huurders.

Beperkingen van hybride gegevensbeveiliging voor meerdere huurders

Partnerorganisaties mogen geen bestaande HDS-implementatie actief hebben in Control Hub.
Organisaties van huurders of klanten die beheerd willen worden door een partner, mogen geen bestaande HDS-implementatie hebben in Control Hub.
Zodra Multi-Tenant HDS door de partner is geïmplementeerd, beginnen alle gebruikers van klantorganisaties en gebruikers van de partnerorganisatie Multi-Tenant HDS te gebruiken voor hun coderingsdiensten.

De partnerorganisatie en klantenorganisaties die zij beheren, zullen gebruikmaken van dezelfde Multi-Tenant HDS-implementatie.

De partnerorganisatie zal geen gebruik meer maken van KMS in de cloud nadat Multi-Tenant HDS is geïmplementeerd.
Er is geen mechanisme om sleutels terug te verplaatsen naar Cloud KMS na een HDS-implementatie.
Beheerdersrollen hebben bepaalde beperkingen; zie het gedeelte hieronder voor meer informatie.

Rollen op het gebied van hybride gegevensbeveiliging met meerdere huurders

Partner, volledige beheerder - Kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die beheerd moeten worden door partnerbeheerders.
Partnerbeheerder - Kan instellingen beheren voor klanten die de beheerder heeft ingesteld of die aan de gebruiker zijn toegewezen.
Volledig beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren, zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end Multi-Tenant HDS-installatie en beheer van alle klantenorganisaties - Volledige beheerdersrechten van de partner en volledige beheerdersrechten vereist.
Beheer van toegewezen huurdersorganisaties - Partnerbeheerder en volledige beheerdersrechten vereist.

Architectuur van Security Realm

De Webex-cloudarchitectuur verdeelt verschillende soorten diensten in afzonderlijke domeinen, of vertrouwensdomeinen, zoals hieronder wordt weergegeven.

Laten we, om meer inzicht te krijgen in hybride gegevensbeveiliging, eerst eens kijken naar deze pure cloudbehuizing, waarin Cisco alle functies op het gebied van de cloud levert. De identiteitsdienst, de enige plaats waar gebruikers rechtstreeks in verband kunnen worden gebracht met hun persoonlijke informatie, zoals hun e-mailadres, is logisch en fysiek gescheiden van de beveiligingswereld in datacenter B. Beide zijn op hun beurt gescheiden van de ruimte waar uiteindelijk versleutelde inhoud wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die draait op de laptop van een gebruiker en die is geverifieerd bij de identiteitsdienst. Wanneer de gebruiker een bericht opstelt om naar een ruimte te sturen, vinden de volgende stappen plaats:

De klant brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens om een sleutel om het bericht te versleutelen. De beveiligde verbinding maakt gebruik van ECDH en het KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt versleuteld voordat het de klant verlaat. De klant stuurt het naar de indexeringsdienst, die gecodeerde zoekindexen aanmaakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsdienst gestuurd voor nalevingscontroles.
Het versleutelde bericht wordt opgeslagen in de opslagruimte.

Wanneer u Hybrid Data Security implementeert, verplaatst u de beveiligingsfuncties (KMS, indexering en compliance) naar uw datacenter op locatie. De andere clouddiensten die deel uitmaken van Webex (waaronder identiteits- en inhoudsopslag) blijven eigendom van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen de Webex App regelmatig gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze door een van uw gebruikers is aangemaakt), stuurt uw KMS de sleutel naar de klant via een door het ECDH beveiligd kanaal. Maar als een andere organisatie eigenaar is van de sleutel voor de ruimte, stuurt uw KMS de aanvraag naar de Webex-cloud via een apart ECDH-kanaal om de sleutel van het juiste KMS op te halen, en stuurt de sleutel vervolgens terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die draait op organisatie A valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Preparate your Environment voor informatie over het genereren van een x.509-certificaat voor gebruik bij uw Multi-Tenant Hybrid Data Security-implementatie.

Verwachtingen voor de implementatie van hybride gegevensbeveiliging

Een implementatie van hybride gegevensbeveiliging vereist aanzienlijke betrokkenheid en een besef van de risico's die gepaard gaan met het bezit van coderingssleutels.

Om Hybrid Data Security in te zetten, moet u zorgen voor:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teamsabonnementen.
De apparatuur, software en netwerktoegang worden beschreven in Bereid uw omgeving voor.

Het volledige verlies van ofwel de configuratie-ISO die u voor Hybrid Data Security maakt, ofwel de database die u verstrekt, zal resulteren in het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere versleutelde gegevens in de Webex-app kunnen ontsleutelen. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar alleen nieuwe inhoud is zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de ISO-configuratie.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een defecte databaseschijf of een ramp in het datacenter.

Migratie van Multi-Tenant Hybrid Data Security (HDS) naar Webex Cloud KMS wordt niet ondersteund. De ontmanteling van HDS zal resulteren in het verlies van toegang tot inhoud en gegevens die eerder met die sleutels waren versleuteld. U moet HDS behouden om de toegang tot bestaande versleutelde inhoud te behouden.

Installatieproces op hoog niveau

Dit document behandelt de installatie en het beheer van een implementatie voor hybride gegevensbeveiliging met meerdere huurders:

Hybrid Data Security instellen — Dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van Hybrid Data Security-software, het bouwen van een HDS-cluster, het toevoegen van huurdersorganisaties aan het cluster en het beheren van hun Customer Main Keys (CMK's). Zo kunnen alle gebruikers van uw klantenorganisaties uw Hybrid Data Security-cluster gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Behoud uw implementatie van hybride gegevensbeveiliging. De Webex-cloud zorgt automatisch voor doorlopende upgrades. Uw IT-afdeling kan eersteklas ondersteuning bieden voor deze implementatie en indien nodig Cisco-ondersteuning inschakelen. U kunt meldingen op het scherm gebruiken en meldingen via e-mail instellen in Partner Hub.
Begrijp veelvoorkomende waarschuwingen, stappen voor probleemoplossing en bekende problemen. Als u problemen ondervindt bij de implementatie of het gebruik van Hybrid Data Security, kunnen het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen het probleem vast te stellen en op te lossen.

Implementatiemodel voor hybride gegevensbeveiliging

In het datacenter van uw onderneming implementeert u Hybrid Data Security als één cluster van knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces geven we u het OVA-bestand om het virtuele apparaat in te stellen op de VM's die u ter beschikking stelt. U gebruikt de HDS Setup Tool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het Hybrid Data Security-cluster maakt gebruik van de door u geleverde Syslogd-server en de PostgreSQL- of Microsoft SQL Server-database. (U configureert de gegevens van de syslogd en de databaseverbinding in de HDS Setup Tool.)

Implementatiemodel voor hybride gegevensbeveiliging

Het minimumaantal knooppunten dat u in een cluster kunt hebben is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere nodes zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een node. (De Webex-cloud upgradet slechts één node tegelijk.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke datastore en registreren de activiteiten op dezelfde syslogserver. De knooppunten zelf zijn staatloos en behandelen belangrijke verzoeken op een round-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in de Partner Hub. Om een individueel knooppunt buiten gebruik te stellen, kunt u het deregistreren en later opnieuw registreren, indien nodig.

Proxy-ondersteuning

Hybrid Data Security ondersteunt expliciete, transparante inspecterende en niet-inspecterende proxy's. U kunt deze proxy's koppelen aan uw implementatie, zodat u het verkeer van de onderneming naar de cloud kunt beveiligen en controleren. U kunt een beheerinterface van het platform op de nodes gebruiken voor certificaatbeheer en om de algemene connectiviteitsstatus te controleren nadat u de proxy op de nodes hebt ingesteld.

De Hybrid Data Security-knooppunten ondersteunen de volgende proxy-opties:

Geen proxy — De standaardinstelling als u de Trust Store & Proxy-configuratie van de HDS-node niet gebruikt om een proxy te integreren. Er is geen update van het certificaat vereist.
Transparante proxy die niet inspecteert. De knooppunten zijn niet geconfigureerd om een specifiek adres van de proxyserver te gebruiken en zouden geen wijzigingen moeten ondergaan om te kunnen werken met een proxy die niet inspecteert. Er is geen update van het certificaat vereist.
Transparante tunneling of inspectie van de proxy. De knooppunten zijn niet geconfigureerd om een specifiek adres van de proxyserver te gebruiken. Er zijn geen wijzigingen in de HTTP- of HTTPS-configuratie nodig op de nodes. De knooppunten hebben echter een basiscertificaat nodig om de proxy te kunnen vertrouwen. Inspectieproxy's worden doorgaans door IT gebruikt om het beleid af te dwingen over welke websites kunnen worden bezocht en welke soorten inhoud niet zijn toegestaan. Dit type proxy decodeert al uw verkeer (zelfs HTTPS).
Expliciete proxy — Met een expliciete proxy vertelt u de HDS-nodes welke proxyserver en welk authenticatieschema ze moeten gebruiken. Om een expliciete proxy te configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy IP/FQDN — Adres dat kan worden gebruikt om de proxymachine te bereiken.
2. Proxypoort — Een poortnummer dat de proxy gebruikt om naar proxyverkeer te luisteren.
3. Proxy-protocol — Afhankelijk van wat uw proxyserver ondersteunt, kunt u kiezen uit de volgende protocollen:
  - HTTP — bekijkt en beheert alle aanvragen die de client verstuurt.
  - HTTPS — biedt een kanaal naar de server. De client ontvangt en valideert het certificaat van de server.
4. Authenticatietype — Kies uit de volgende authenticatietypen:
  - Geen. Er is geen verdere authenticatie vereist.
    
    Beschikbaar als u HTTP of HTTPS als proxyprotocol selecteert.
  - Eenvoudig — Wordt gebruikt voor een HTTP User Agent om een gebruikersnaam en wachtwoord op te geven bij het indienen van een aanvraag. Maakt gebruik van Base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als proxyprotocol selecteert.
    
    U moet op elk knooppunt de gebruikersnaam en het wachtwoord invoeren.
  - Digest — Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hashfunctie toe op de gebruikersnaam en het wachtwoord voordat ze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxyprotocol selecteert.
    
    U moet op elk knooppunt de gebruikersnaam en het wachtwoord invoeren.

Voorbeeld van hybride gegevensbeveiligingsknooppunten en -proxy

Dit diagram toont een voorbeeldverbinding tussen de Hybrid Data Security, het netwerk en een proxy. Voor de proxy-opties voor transparante inspectie en expliciete HTTPS-inspectie moet hetzelfde basiscertificaat geïnstalleerd zijn op de proxy en op de Hybrid Data Security-knooppunten.

Geblokkeerde externe DNS-resolutiemodus (expliciete proxyconfiguraties)

Wanneer u een node registreert of de proxyconfiguratie van het knooppunt controleert, worden de DNS-lookup en de connectiviteit met de Cisco Webex cloud getest. In implementaties met expliciete proxyconfiguraties die geen externe DNS-resolutie voor interne clients toestaan, wordt het knooppunt automatisch overgezet naar de modus Geblokkeerde externe DNS-resolutie als het knooppunt de DNS-servers niet kan opvragen. In deze modus kunnen de node-registratie en andere proxyconnectiviteitstests worden uitgevoerd.

Bereid uw omgeving voor

Vereisten voor hybride gegevensbeveiliging voor meerdere huurders

Cisco Webex Licentievereisten

Om hybride gegevensbeveiliging met meerdere huurders te implementeren:

Huurdersorganisaties: U moet een Pro Pack hebben voorCisco Webex Control Hub. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-nodes installeert, hebt u Docker Desktop nodig om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie heeft mogelijk een betaald abonnement nodig voor Docker Desktop. Zie de blogpost van Docker, „Docker is bezig met het updaten en uitbreiden van onze productabonnementen” voor meer informatie.

Klanten zonder een Docker Desktop-licentie kunnen een open-source tool voor containerbeheer, zoals Podman Desktop, gebruiken om containers uit te voeren, te beheren en te maken. Zie HDS Setup Tool uitvoeren met Podman Desktop voor meer informatie.

Vereisten voor het X.509-certificaat

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor de implementatie van hybride gegevensbeveiliging
Vereiste	Gegevens
Ondertekend door een vertrouwde Certificate Authority (CA)	Standaard vertrouwen we de CA's in de Mozilla-lijst (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een Common Name-domeinnaam (CN) die uw Hybrid Data Security-implementatie identificeert Is geen wildcard-certificaat	De CN hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die uw organisatie weerspiegelt, bijvoorbeeld `hds.company.com`. De CN mag geen * (jokerteken) bevatten. De CN wordt gebruikt om de hybride gegevensbeveiligingsknooppunten voor Webex App-clients te verifiëren. Alle Hybrid Data Security-knooppunten in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf aan de hand van het CN-domein, niet aan de hand van een domein dat is gedefinieerd in de X.509v3 SAN-velden. Als u eenmaal een node met dit certificaat hebt geregistreerd, bieden wij geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Handtekening zonder SHA1	De KMS-software ondersteunt geen SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Geformatteerd als een PKCS #12 -bestand dat met een wachtwoord is beveiligd Gebruik de vriendelijke naam `kms-private-key om het certificaat, de privésleutel` en eventuele tussenliggende certificaten te taggen om te uploaden.	U kunt een converter zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS Setup Tool gebruikt.
Ondersteund algoritme	Alleen RSA-certificaten worden ondersteund.

De KMS-software dwingt het gebruik van sleutels of uitgebreide beperkingen op het gebruik van sleutels niet af. Sommige certificeringsinstanties eisen dat op elk certificaat uitgebreide beperkingen voor het gebruik van sleutels worden toegepast, zoals serverauthenticatie. Het is OK om de serverauthenticatie of andere instellingen te gebruiken.

Vereisten voor virtuele hosts

De virtuele hosts die u als hybride gegevensbeveiligingsknooppunten in uw cluster gaat opzetten, moeten aan de volgende vereisten voldoen:

Minstens twee afzonderlijke hosts (3 aanbevolen) die zich bevinden in hetzelfde beveiligde datacenter
Ondersteunde hypervisors:
- VMware ESXi 7.0 of 8.0.
- Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) versie 26.2.1.
- Nutanix AOS 7.5.x met Nutanix AHV 11.0.x.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale ruimte op de harde schijf per server.

Vereisten voor de databaseserver

Creëer een nieuwe database voor sleutelopslag. Gebruik niet de standaarddatabase. De HDS-toepassingen creëren, indien geïnstalleerd, het databaseschema.

Er zijn twee opties voor de databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor de databaseserver per type database
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 of 18, geïnstalleerd en actief.	SQL Server 2016, 2017, 2019 of 2022 (Enterprise of Standard) geïnstalleerd. Voor SQL Server 2016 zijn Service Pack 2 en Cumulatieve Update 2 of hoger vereist.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en bewaking om ervoor te zorgen dat deze niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt gebruiken zonder dat u meer opslagruimte nodig hebt)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en bewaking om ervoor te zorgen dat deze niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt gebruiken zonder dat u meer opslagruimte nodig hebt)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-driver 42.2.5

JDBC-stuurprogramma 4.6 voor SQL Server

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover Cluster Instances en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-authenticatie tegen Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-authenticatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, dan hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, Active Directory infrastructuur en MS SQL Server moeten allemaal gesynchroniseerd zijn met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees-/schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten levert, moeten in staat zijn om uw Key Distribution Center (KDC) op te lossen.
U kunt de instantie van de HDS-database op uw Microsoft SQL Server registreren als Service Principal Name (SPN) op uw. Active Directory Zie Een Service Principal Name registreren voor Kerberos Connections.

De HDS-installatietool, het HDS-opstartprogramma en het lokale KMS hebben allemaal Windows-authenticatie nodig om toegang te krijgen tot de keystore-database. Ze gebruiken de gegevens van uw ISO-configuratie om de SPN samen te stellen wanneer ze toegang aanvragen met Kerberos-authenticatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit mogelijk te maken voor de HDS-toepassingen:

Applicatie	Protocol	Poort	Routebeschrijving vanuit de app	Bestemming
Knooppunten voor hybride gegevensbeveiliging	TCP	443	HTTPS en WSS naar het buitenland	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity hosts Andere URL's die voor Hybrid Data Security zijn vermeld in de tabel Aanvullende URL's voor Webex Hybrid Services van Network Requirements for Webex Services
Hulpmiddel voor het instellen van HDS	TCP	443	HTTPS voor uitgaand verkeer	*.wbx2.com Alle Common Identity hosts hub.docker.com

De Hybrid Data Security-knooppunten werken met Network Access Translation (NAT) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen naar de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die naar de Hybrid Data Security-knooppunten gaan, mogen er vanaf het internet geen poorten zichtbaar zijn. In uw datacenter hebben klanten toegang nodig tot de Hybrid Data Security-knooppunten op de TCP-poorten 443 en 22, voor administratieve doeleinden.

De URL's voor de Common Identity (CI) -hosts zijn regiospecifiek. Dit zijn de huidige CI-hosts:

regio	Algemene URL's van Identity Host
Noord- en Zuid-Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxyserver

We ondersteunen officieel de volgende proxyoplossingen die kunnen worden geïntegreerd met uw hybride gegevensbeveiligingsknooppunten.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy: Squid.
  
  Proxy's van inktvis die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) belemmeren. Zie Squid Proxies for Hybrid Data Security configureren om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van authenticatietypen voor expliciete proxy's:
- Geen authenticatie met HTTP of HTTPS
- Basisauthenticatie met HTTP of HTTPS
- Digest-authenticatie met alleen HTTPS
Voor een transparante inspectieproxy of een expliciete HTTPS-proxy hebt u een kopie van het basiscertificaat van de proxy nodig. De implementatie-instructies in deze handleiding vertellen u hoe u de kopie kunt uploaden naar de trust stores van de Hybrid Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet zo worden geconfigureerd dat uitgaand TCP-verkeer op poort 443 via de proxy wordt doorgestuurd.
Proxy's die het webverkeer inspecteren, kunnen interageren met de websocketverbindingen. Als dit probleem zich voordoet, wordt het probleem opgelost door verkeer naar wbx2.com en ciscospark.com te omzeilen (niet te inspecteren).

Voltooi de vereisten voor hybride gegevensbeveiliging

Gebruik deze checklist om er zeker van te zijn dat u klaar bent om uw Hybrid Data Security-cluster te installeren en te configureren.

1	Zorg ervoor dat uw organisatie HDS niet heeft ingeschakeld in Control Hub en verkrijg de inloggegevens van een account met volledige beheerdersrechten van de partner en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantenorganisatie is ingeschakeld voor Pro Pack forCisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties zouden geen bestaande HDS-implementatie moeten hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in de X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u als hybride gegevensbeveiligingsknooppunten in uw cluster gaat opzetten. U hebt minstens twee afzonderlijke hosts nodig (3 aanbevolen) die zich naast elkaar bevinden in hetzelfde beveiligde datacenter, die voldoen aan de vereisten in de vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die zal fungeren als de belangrijkste gegevensopslag voor het cluster, volgens de vereisten van de databaseserver. De databaseserver moet zich samen met de virtuele hosts in het beveiligde datacenter bevinden. Creëer een database voor sleutelopslag. (U moet deze database aanmaken. Gebruik niet de standaarddatabase. De HDS-toepassingen creëren, indien geïnstalleerd, het databaseschema.) Verzamel de gegevens die de knooppunten zullen gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor een snel noodherstel kunt u een back-upomgeving opzetten in een ander datacenter. De back-upomgeving is een afspiegeling van de productieomgeving van VM's en een back-up databaseserver. Als de productie bijvoorbeeld drie VM's heeft waarop HDS-knooppunten draaien, moet de back-upomgeving uit 3 VM's bestaan.
6	Stel een syslog-host in om logboeken te verzamelen van de knooppunten in het cluster. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Stel een veilig back-upbeleid op voor de Hybrid Data Security-knooppunten, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u ten minste een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de Hybrid Data Security-knooppunten. Omdat de Hybrid Data Security-knooppunten de sleutels opslaan die worden gebruikt voor de versleuteling en ontsleuteling van inhoud, zal het uitblijven van een operationele implementatie resulteren in een ONHERSTELBAAR VERLIES van die inhoud. Klanten van de Webex App bewaren hun sleutels in de cache, dus een storing is misschien niet meteen merkbaar, maar zal na verloop van tijd duidelijk worden. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Het volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-bestand van de configuratie leidt echter tot onherstelbare klantgegevens. Van de beheerders van de Hybrid Data Security-knooppunten wordt verwacht dat ze regelmatig back-ups maken van de database en het ISO-configuratiebestand, en dat ze bereid zijn om het Hybrid Data Security-datacenter opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit mogelijk maakt voor uw hybride gegevensbeveiligingsknooppunten, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker (https://www.docker.com) op elke lokale computer waarop een ondersteund besturingssysteem draait (Microsoft Windows10 Professional of Enterprise 64-bit, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft tot het systeem op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, die de lokale configuratiegegevens verzamelt voor alle Hybrid Data Security-knooppunten. Misschien hebt u een Docker Desktop-licentie nodig. Zie de vereisten voor Docker Desktop voor meer informatie. Om de HDS Setup Tool te installeren en uit te voeren, moet de lokale machine beschikken over de connectiviteit zoals beschreven in Externe connectiviteitsvereisten.
10	Als u een proxy integreert met Hybrid Data Security, zorg er dan voor dat deze voldoet aan de vereisten van de proxyserver.

Een hybride gegevensbeveiligingscluster opzetten

Taakstroom voor de implementatie van hybride gegevensbeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download de installatiebestanden Download het OVA-bestand naar uw lokale computer voor later gebruik.
2	Maak een configuratie-ISO voor de HDS-hosts Gebruik de HDS Setup Tool om een ISO-configuratiebestand te maken voor de Hybrid Data Security-knooppunten.
3	Installeer de HDS Host OVA Maak een virtuele machine op basis van het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. Het configureren van netwerkinstellingen tijdens de OVA-implementatie wordt alleen ondersteund op ESXi 7.0 en 8.0. Voor NFVIS-implementaties, zie De HDS Host OVA installeren op NFVIS. Voor Nutanix-implementaties, zie De HDS Host OVA installeren op Nutanix
4	De hybride VM voor gegevensbeveiliging instellen Meld u aan bij de VM-console en stel de inloggegevens in. Configureer de netwerkinstellingen voor het knooppunt als u ze niet hebt geconfigureerd ten tijde van de OVA-implementatie. Voor NFVIS-implementaties, zie De Hybrid Data Security VM instellen op NFVIS. Voor Nutanix-implementaties, zie Create the Hybrid Data Security VM op Nutanix
5	Upload en koppel de HDS-configuratie-ISO Configureer de VM op basis van het ISO-configuratiebestand dat u hebt gemaakt met de HDS Setup Tool. Voor NFVIS-implementaties, zie De HDS Configuration ISO uploaden en koppelen. Voor Nutanix-implementaties, zie De HDS Configuration ISO uploaden en koppelen
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving een proxyconfiguratie vereist, specificeer dan het type proxy dat u voor het knooppunt wilt gebruiken en voeg indien nodig het proxycertificaat toe aan de trust store.
7	Registreer het eerste knooppunt in het cluster Registreer de VM bij de Cisco Webex cloud als een hybride gegevensbeveiligingsknooppunt.
8	Meer knooppunten aanmaken en registreren Voltooi de clusterconfiguratie.
9	Activeer Multi-Tenant HDS op Partner Hub. Activeer HDS en beheer huurdersorganisaties op Partner Hub.

Voer de eerste installatie uit en download de installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u als hybride gegevensbeveiligingsknooppunten hebt ingesteld). U gebruikt dit bestand later in het installatieproces.

1	Meld u aan bij Partner Hub en klik vervolgens op Services.
2	Zoek in het gedeelte Hybrid naar de Hybrid Data Security-kaart en klik vervolgens op Instellen. Het klikken op Instellen in Partner Hub is cruciaal voor het implementatieproces. Ga niet verder met de installatie zonder deze stap te hebben voltooid.
3	Klik op Hulpbron toevoegen en klik op .OVA-bestand downloaden op de kaart Software installeren en configureren. Oudere versies van het softwarepakket (OVA) zullen niet compatibel zijn met de nieuwste upgrades voor hybride gegevensbeveiliging. Dit kan problemen veroorzaken bij het upgraden van de toepassing. Zorg ervoor dat u de laatste versie van het OVA-bestand downloadt. U kunt de OVA ook op elk gewenst moment downloaden via de Help-sectie. Klik op Instellingen > Help > Hybrid Data Security-software downloaden. Het OVA-bestand begint automatisch te downloaden. Sla het bestand op een locatie op uw computer op.

Maak een configuratie-ISO voor de HDS-hosts

Tijdens het installatieproces van Hybrid Data Security wordt een ISO-bestand gemaakt. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

Voordat u begint

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Docker op die computer uitvoeren. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1 tot en met 5 in de onderstaande procedure. Zie HDS Setup Tool uitvoeren met Podman Desktop voor meer informatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving

Variabel

HTTP-proxy zonder authenticatie

GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT

HTTPS-proxy zonder authenticatie

GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT

HTTP-proxy met authenticatie

GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxy met authenticatie

GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de laatste kopie van dit bestand nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals deze:
- Inloggegevens voor de database
- Updates van certificaten
- Wijzigingen in het autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de commandoregel van uw computer de juiste opdracht in voor uw omgeving:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stable

Met deze stap worden afbeeldingen van eerdere HDS-installatietools opgeschoond. Als er geen eerdere afbeeldingen zijn, wordt een fout geretourneerd die u kunt negeren.

2

Voer het volgende in om u aan te melden bij het Docker-beeldregister:

docker login -u hdscustomersro

3

Voer deze hash in bij de wachtwoordprompt:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download het meest recente stabiele image voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Wanneer de pull is voltooid, voert u de juiste opdracht in voor uw omgeving:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Als de container draait, ziet u „Express server listening on port 8080”.

6

De installatietool ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost te gaan, http://127.0.0.1:8080, en voer bij de prompt de gebruikersnaam van de beheerder voor Partner Hub in.

De tool gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool geeft vervolgens de standaard aanmeldingsprompt weer.

7

Voer desgevraagd uw inloggegevens voor de beheerder van Partner Hub in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor hybride gegevensbeveiliging.

8

Klik op de overzichtspagina van de Setup Tool op Aan de slag.

9

Op de ISO-importpagina hebt u de volgende opties:

Nee. Als u uw eerste HDS-node maakt, hoeft u geen ISO-bestand te uploaden.
Ja, als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de browser en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in de X.509-certificaatvereisten.

Als u nog nooit een certificaat hebt geüpload, upload dan het X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat verlopen is of als u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en de privésleutel van de vorige ISO? . Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en de account van HDS in om toegang te krijgen tot uw belangrijkste datastore:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u voor Microsoft SQL Server kiest, krijgt u een veld Authenticatietype.
(Alleen voor Microsoft SQL Server) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam.
- Windows-authenticatie: U hebt een Windows-account nodig met de indeling gebruikersnaam @DOMAIN in het veld Gebruikersnaam.
Voer het adres van de databaseserver in het formulier: <hostname><port>of: <IP-address><port>.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100. 17:1433

U kunt een IP-adres gebruiken voor basisverificatie, als de nodes DNS niet kunnen gebruiken om de hostnaam om te zetten.

Als u Windows-authenticatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten in de database voor sleutelopslag.

12

Selecteer een verbindingsmodus voor een TLS-database:

Modus	Beschrijving
Geef de voorkeur aan TLS (standaardoptie)	HDS-knooppunten hebben geen TLS nodig om verbinding te maken met de databaseserver. Als u TLS inschakelt op de databaseserver, proberen de knooppunten een versleutelde verbinding te maken.
TLS is vereist	HDS-knooppunten maken alleen verbinding als de databaseserver over TLS kan onderhandelen.
TLS vereisen en de ondertekenaar van het certificaat verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver over TLS kan onderhandelen. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het basiscertificaat van de database. Als ze niet overeenkomen, verbreekt het knooppunt de verbinding. Gebruik het basiscertificaatbeheer voor de database onder de keuzelijst om het basiscertificaat voor deze optie te uploaden.
TLS vereisen en de ondertekenaar en hostnaam van het certificaat verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver over TLS kan onderhandelen. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het basiscertificaat van de database. Als ze niet overeenkomen, verbreekt het knooppunt de verbinding. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databasehost en -poort. De namen moeten exact overeenkomen, anders verbreekt het knooppunt de verbinding. Gebruik het basiscertificaatbeheer voor de database onder de keuzelijst om het basiscertificaat voor deze optie te uploaden.

Wanneer u het basiscertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS Setup Tool de TLS-verbinding met de databaseserver. De tool verifieert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, geeft het programma een foutmelding waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege connectiviteitsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de HDS Setup Tool-machine deze niet succesvol kan testen.)

13

Configureer op de pagina Systeemlogboeken uw Syslogd-server:

Voer de URL van de syslogserver in.

Als de server niet via de nodes voor uw HDS-cluster via DNS kan worden opgelost, gebruik dan een IP-adres in de URL.

Voorbeeld:
udp: //10.92.43. 23:514 geeft aan dat u inlogt op Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat TLS-versleuteling wordt gebruikt, vink dan Is uw server geconfigureerd voor TLS-onderhandeling/handshake? .

Als u dit selectievakje aanvinkt, zorg er dan voor dat u een TCP-URL invoert, zoals tcp: //10.92.43. 23:514, en upload het syslog-basiscertificaat.
Kies in de keuzelijst Choose syslog record termination de juiste instelling voor uw ISO-bestand: Kies of Newline wordt gebruikt voor Graylog en Rsyslog TCP
- Nulbyte --\ x00
- Newline --\n—Selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor bepaalde parameters voor de databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u misschien wilt wijzigen:

app_datasource_connection_pool_maxSize: 10

15

Klik op Doorgaan op het scherm Wachtwoord voor serviceaccounts opnieuw instellen.

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm als uw wachtwoorden bijna verlopen zijn of als u ze opnieuw wilt instellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een locatie op die gemakkelijk te vinden is.

17

Maak een reservekopie van het ISO-bestand op uw lokale systeem.

Bewaar de reservekopie veilig. Dit bestand bevat een hoofdcoderingssleutel voor de inhoud van de database. Beperk de toegang tot alleen die Hybrid Data Security-beheerders die wijzigingen in de configuratie moeten aanbrengen.

18

Om de installatietool uit te schakelen, typt u CTRL+C.

Wat nu te doen

Maak een back-up van het ISO-bestand van de configuratie. U hebt het nodig om meer knooppunten te creëren voor herstel of om wijzigingen in de configuratie aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het herstellen van de sleutels uit uw PostgreSQL- of Microsoft SQL Server-database is niet mogelijk.

We hebben nooit een kopie van deze sleutel en kunnen u niet helpen als u hem kwijtraakt.

Installeer de HDS Host OVA

Gebruik deze procedure om een virtuele machine te maken op basis van het OVA-bestand.

Als u HDS op een NFVIS-hypervisor implementeert, zie dan de sectie Installeer de HDS Host OVA op NFVIS.

Als u HDS op een Nutanix-hypervisor implementeert, zie dan de sectie Installeer de HDS Host OVA op Nutanix.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Voer op de pagina Selecteer een naam en map een virtuele machinenaam voor het knooppunt in (bijvoorbeeld „HDS_Node_1"), kies een locatie waar de node-implementatie van de virtuele machine zich kan bevinden en klik vervolgens op Next.
5	Kies op de pagina Selecteer een computerbron de doelbron en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Als het klaar is, verschijnen de sjabloongegevens.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de bronconfiguratie te kiezen op de configuratiepagina, klik dan op 4 CPU en vervolgens op Next.
8	Klik op de pagina Opslag selecteren op Volgende om het standaardschijfformaat en het VM-opslagbeleid te accepteren.
9	Kies op de pagina Netwerken selecteren de netwerkoptie uit de lijst met items om de gewenste connectiviteit met de VM te bieden.
10	Op de pagina Sjabloon aanpassen configureert u de volgende netwerkinstellingen: Hostnaam — Voer de FQDN (hostnaam en domein) of de hostnaam van één woord voor het knooppunt in. U hoeft het domein niet zo in te stellen dat het overeenkomt met het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Om een succesvolle registratie in de cloud te garanderen, moet u alleen kleine letters gebruiken in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld. Hoofdlettergebruik wordt op dit moment niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres — Voer het IP-adres in voor de interne interface van het knooppunt. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund. Masker — Voer het adres van het subnetmasker in decimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway — Voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dient als toegangspunt tot een ander netwerk. DNS-servers — Voer een door komma's gescheiden lijst in van DNS-servers, die de vertaling van domeinnamen naar numerieke IP-adressen afhandelen. (Er zijn maximaal 4 DNS-ingangen toegestaan.) NTP-servers — Voer de NTP-server van uw organisatie in of een andere externe NTP-server die in uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een lijst met komma's gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster bereikbaar zijn vanaf clients in uw netwerk voor administratieve doeleinden. Indien gewenst kunt u de configuratie van de netwerkinstellingen overslaan en de stappen volgen in De Hybrid Data Security VM instellen om de instellingen vanaf de nodeconsole te configureren. De optie om netwerkinstellingen te configureren tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. De optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op de VM-node en kies vervolgens Power > Power On. De Hybrid Data Security-software wordt als gast op de VM-host geïnstalleerd. U bent nu klaar om u aan te melden bij de console en de node te configureren. Tips voor het oplossen van problemen Het kan een paar minuten duren voordat de nodecontainers beschikbaar zijn. Tijdens de eerste keer opstarten verschijnt er een bericht over de bridge firewall op de console, waarbij u zich niet kunt aanmelden.

De hybride VM voor gegevensbeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het Hybrid Data Security-knooppunt en de inloggegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u ze niet hebt geconfigureerd tijdens de OVA-implementatie.

Als u HDS op een NFVIS-hypervisor implementeert, zie dan de sectie De Hybrid Data Security VM instellen op NFVIS.

Als u HDS op een Nutanix-hypervisor implementeert, zie dan de sectie Create the Hybrid Data Security VM op Nutanix.

1	Selecteer in de VMware vSphere-client de VM van uw Hybrid Data Security-knooppunt en selecteer het tabblad Console. De VM start op en er verschijnt een aanmeldingsprompt. Als de aanmeldingsprompt niet verschijnt, druk dan op Enter.
2	Gebruik de volgende standaardaanmelding en wachtwoord om in te loggen en de inloggegevens te wijzigen: Inloggen: `admin` Wachtwoord: `ciscosystems` Aangezien u zich voor de eerste keer aanmeldt bij uw VM, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in Install the HDS Host OVA, sla dan de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken.
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig de hostnaam, het domein of de NTP-server (s), indien nodig om aan uw netwerkbeleid te voldoen. U hoeft het domein niet zo in te stellen dat het overeenkomt met het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen van kracht worden.

Upload en koppel de HDS-configuratie-ISO

Gebruik deze procedure om de virtuele machine te configureren op basis van het ISO-bestand dat u hebt gemaakt met de HDS Setup Tool.

Als u HDS op een NFVIS-hypervisor implementeert, zie dan de sectie Upload and Mount the HDS Configuration ISO.

Als u HDS op een Nutanix-hypervisor implementeert, zie dan de sectie Upload and Mount the HDS Configuration ISO.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op basis van „need to know”, zodat de VM's van Hybrid Data Security en eventuele beheerders die mogelijk wijzigingen moeten aanbrengen, toegankelijk zijn. Zorg ervoor dat alleen die beheerders toegang hebben tot de datastore.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkernavigatievenster van de VMware vSphere-client op de ESXi-server.
Klik op de Hardwarelijst van het tabblad Configuratie op Opslag.
Klik in de lijst Datastores met de rechtermuisknop op de datastore voor uw VM's en klik op Browse Datastore.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand hebt gedownload op uw computer en klik op Open.
Klik op Ja om de waarschuwing voor het uploaden en downloaden te accepteren en het dialoogvenster voor de datastore te sluiten.

2

Koppel het ISO-bestand:

Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te mounten vanuit een ISO-bestand in de datastore en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Vink Aangesloten en Aansluiten aan bij inschakelen.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

Wat nu te doen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand ontkoppelen nadat al uw nodes de configuratiewijzigingen hebben overgenomen. Zie (Optioneel) ISO ontkoppelen na de HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruik dan deze procedure om aan te geven welk type proxy u wilt integreren met Hybrid Data Security. Als u kiest voor een transparante inspectieproxy of een expliciete HTTPS-proxy, kunt u de interface van het knooppunt gebruiken om het basiscertificaat te uploaden en te installeren. U kunt ook via de interface de proxyverbinding controleren en eventuele problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxyserver

1	Voer de URL voor het instellen van het `HDS-knooppunt https://[HDS Node IP or FQDN] /setup` in een webbrowser in, voer de beheerdersgegevens in die u voor het knooppunt hebt ingesteld en klik vervolgens op Aanmelden.
2	Ga naar Trust Store & Proxy en kies vervolgens een optie: Geen proxy — De standaardoptie voordat u een proxy integreert. Er is geen update van het certificaat vereist. Transparante proxy die niet inspecteert — Knooppunten zijn niet geconfigureerd om een specifiek adres van de proxyserver te gebruiken en zouden geen wijzigingen nodig moeten hebben om te kunnen werken met een proxy die niet inspecteert. Er is geen update van het certificaat vereist. Transparent Inspecting Proxy — Nodes zijn niet geconfigureerd om een specifiek adres van de proxyserver te gebruiken. Voor de implementatie van Hybrid Data Security zijn geen wijzigingen in de HTTPS-configuratie nodig, maar de HDS-knooppunten hebben een basiscertificaat nodig zodat ze de proxy kunnen vertrouwen. Inspectieproxy's worden doorgaans door IT gebruikt om het beleid af te dwingen over welke websites kunnen worden bezocht en welke soorten inhoud niet zijn toegestaan. Dit type proxy decodeert al uw verkeer (zelfs HTTPS). Expliciete proxy — Met een expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt, en deze optie ondersteunt verschillende soorten authenticatie. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy IP/FQDN — Adres dat kan worden gebruikt om de proxymachine te bereiken. Proxypoort — Een poortnummer dat de proxy gebruikt om naar proxyverkeer te luisteren. Proxy-protocol — Kies http (bekijkt en beheert alle aanvragen die van de client worden ontvangen) of https (biedt een kanaal naar de server en de client ontvangt en valideert het certificaat van de server). Kies een optie op basis van wat uw proxyserver ondersteunt. Authenticatietype — Kies uit de volgende authenticatietypen: Geen. Er is geen verdere authenticatie vereist. Beschikbaar voor HTTP- of HTTPS-proxy's. Eenvoudig — Wordt gebruikt voor een HTTP User Agent om een gebruikersnaam en wachtwoord op te geven bij het indienen van een aanvraag. Maakt gebruik van Base64-codering. Beschikbaar voor HTTP- of HTTPS-proxy's. Als u voor deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest — Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hashfunctie toe op de gebruikersnaam en het wachtwoord voordat ze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u voor deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectieproxy, een expliciete HTTP-proxy met basisauthenticatie of een expliciete HTTPS-proxy.
3	Klik op Een basiscertificaat of Entiteitscertificaat uploaden en ga vervolgens naar en kies het basiscertificaat voor de proxy. Het certificaat is geüpload, maar nog niet geïnstalleerd, omdat u de node opnieuw moet opstarten om het certificaat te installeren. Klik op het pijltje naast de naam van de uitgever van het certificaat voor meer informatie, of klik op Verwijderen als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op Proxyverbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, krijgt u een foutmelding met de reden en hoe u het probleem kunt verhelpen. Als u een bericht ziet waarin staat dat de externe DNS-resolutie niet is gelukt, kon het knooppunt de DNS-server niet bereiken. Deze toestand wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en de node zal functioneren in de modus Blocked External DNS Resolution. Als u denkt dat dit een fout is, voer dan deze stappen uit en zie Geblokkeerde externe DNS-resolutiemodus uitschakelen.
5	Als de verbindingstest geslaagd is, moet u voor een expliciete proxy die alleen op https is ingesteld, de schakelaar inschakelen om alle HTTPS-aanvragen van poort 443/444 van dit knooppunt via de expliciete proxy te routeren. Deze instelling heeft 15 seconden nodig om van kracht te worden.
6	Klik op Alle certificaten in de Trust Store installeren (verschijnt voor een expliciete HTTPS-proxy of een transparante inspectieproxy) of op Opnieuw opstarten (verschijnt voor een expliciete HTTP-proxy), lees de prompt en klik vervolgens op Installeren als u klaar bent. De node start binnen enkele minuten opnieuw op.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich indien nodig opnieuw aan en opent u vervolgens de pagina Overzicht om de connectiviteitscontroles te controleren om er zeker van te zijn dat ze allemaal de groene status hebben. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er verbindingsproblemen zijn, is een veelvoorkomend probleem dat sommige van de clouddomeinen die in de installatie-instructies worden vermeld, bij de proxy worden geblokkeerd.

Registreer het eerste knooppunt in het cluster

Deze taak neemt het generieke knooppunt dat u hebt gemaakt in de VM voor het instellen van de hybride gegevensbeveiliging, registreert het knooppunt bij de Webex-cloud en maakt er een hybride gegevensbeveiligingsknooppunt van.

Wanneer u uw eerste node registreert, creëert u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn ingezet om redundantie te bieden.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u dat binnen 60 minuten voltooien, anders moet u opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan op https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Hybrid naar de Hybrid Data Security-kaart en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een bron toevoegen.
5	Voer in het eerste veld van Create a new cluster card een naam in voor het cluster waaraan u uw Hybrid Data Security-node wilt toewijzen. We raden u aan een cluster een naam te geven op basis van waar de knooppunten van het cluster zich geografisch bevinden. Voorbeelden: „San Francisco”, „New York” of „Dallas”
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen aan de onderkant van het scherm. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein dat u hebt gebruikt bij de installatie van de Hybrid Data Security VM. Er verschijnt een bericht dat u uw node kunt registreren bij de Webex.
7	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor knooppunten voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina Toegang tot Hybrid Data Security Node toestaan. Daar bevestigt u dat u uw Webex-organisatie toestemming wilt geven voor toegang tot uw node.
8	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht „Registratie voltooid” geeft aan dat uw node nu is geregistreerd in de Webex-cloud.
9	Klik op de link of sluit het tabblad om terug te gaan naar de Partner Hub Hybrid Data Security-pagina. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd, weergegeven op het tabblad Bronnen. Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten aanmaken en registreren

Om extra knooppunten aan uw cluster toe te voegen, hoeft u alleen maar extra VM's te maken en hetzelfde ISO-configuratiebestand aan te koppelen en vervolgens het knooppunt te registreren. We raden u aan om minstens 3 nodes te hebben.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u dat binnen 60 minuten voltooien, anders moet u opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine op basis van de OVA door de stappen in Installeer de HDS Host OVA te herhalen.
2	Stel de initiële configuratie in op de nieuwe VM door de stappen te herhalen in De hybride VM voor gegevensbeveiliging instellen.
3	Op de nieuwe VM herhaalt u de stappen in Upload and Mount the HDS Configuration ISO.
4	Als u een proxy instelt voor uw implementatie, herhaal dan de stappen in Configureer het HDS-knooppunt voor proxy-integratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. In https://admin.webex.com selecteert u Services in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Hybrid naar de Hybrid Data Security-kaart en klik op Alles bekijken. De pagina Hybrid Data Security Resources verschijnt. Het nieuw aangemaakte cluster verschijnt op de pagina Bronnen. Klik op het cluster om de knooppunten te bekijken die aan het cluster zijn toegewezen. Klik op Knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat u uw node kunt registreren in de Webex-cloud. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor knooppunten voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina Toegang tot Hybrid Data Security Node toestaan. Daar bevestigt u dat u uw organisatie toestemming wilt geven om toegang te krijgen tot uw node. Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht „Registratie voltooid” geeft aan dat uw node nu is geregistreerd in de Webex-cloud. Klik op de link of sluit het tabblad om terug te gaan naar de Partner Hub Hybrid Data Security-pagina. Het pop-upbericht Knooppunt toegevoegd verschijnt ook onderaan het scherm in Partner Hub. Uw node is geregistreerd.

Wat nu te doen

Om extra clusters aan te maken, meldt u zich aan bij Partner Hub en klikt u op Services > Hybrid Data Security > Alles weergeven > Cluster toevoegen. Volg de stappen die in het bovenstaande gedeelte zijn beschreven om het eerste knooppunt toe te voegen aan de extra cluster of clusters.

Beheer huurdersorganisaties op het gebied van hybride gegevensbeveiliging met meerdere huurders

Activeer HDS voor meerdere huurders op de Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor versleutelingssleutels op locatie en andere beveiligingsdiensten.

Voordat u begint

Zorg ervoor dat u klaar bent met de installatie van uw Multi-Tenant HDS-cluster met het vereiste aantal nodes.

1	Meld u aan op https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek Hybrid Data Security in de sectie Hybrid Data Security en klik op Instellingen bewerken.
4	Klik op HDS activeren op de HDS-statuskaart.

Voeg huurdersorganisaties toe in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw Hybrid Data Security Cluster.

1	Meld u aan op https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in de sectie Hybrid Data Security naar Hybrid Data Security en klik op Alles weergeven.
4	Ga naar het tabblad Toegewezen klanten. Het tabblad Toegewezen klanten wordt pas weergegeven als u een cluster maakt.
5	Klik op Klanten toevoegen.
6	Selecteer de klant die u wilt toevoegen in het keuzemenu.
7	Klik op Toevoegen, de klant wordt aan het cluster toegevoegd.
8	Herhaal de stappen 5 tot en met 7 om meerdere klanten aan uw cluster toe te voegen.
9	Klik op Gereed aan de onderkant van het scherm als u de klanten hebt toegevoegd. Toegevoegde klanten worden gesynchroniseerd tussen alle beschikbare clusters.

Wat nu te doen

Voer de HDS Setup tool uit zoals beschreven in Create Customer Main Keys (CMK's) met behulp van de HDS Setup tool om het installatieproces te voltooien.

Maak hoofdsleutels voor klanten (CMK's) met behulp van de HDS Setup tool

Voordat u begint

Wijs klanten toe zoals beschreven in Tenantorganisaties toevoegen in Partner Hub. Voer de HDS Setup tool uit om het installatieproces voor de nieuw toegevoegde klantenorganisaties te voltooien.

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Docker op die computer uitvoeren. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving	Variabel
HTTP-proxy zonder authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy zonder authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy met authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de laatste kopie van dit bestand nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals deze:
- Inloggegevens voor de database
- Updates van certificaten
- Wijzigingen in het autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Tijdens het installatieproces van Hybrid Data Security wordt een ISO-bestand gemaakt. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de commandoregel van uw computer de juiste opdracht in voor uw omgeving: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Met deze stap worden afbeeldingen van eerdere HDS-installatietools opgeschoond. Als er geen eerdere afbeeldingen zijn, wordt een fout geretourneerd die u kunt negeren.
2	Voer het volgende in om u aan te melden bij het Docker-beeldregister: `docker login -u hdscustomersro`
3	Voer deze hash in bij de wachtwoordprompt: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download het meest recente stabiele image voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Wanneer de pull is voltooid, voert u de juiste opdracht in voor uw omgeving: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Als de container draait, ziet u „Express server listening on port 8080”.
6	De installatietool ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost te gaan, `http://127.0.0.1:8080`, en voer bij de prompt de gebruikersnaam van de beheerder voor Partner Hub in. De tool gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool geeft vervolgens de standaard aanmeldingsprompt weer.
7	Voer desgevraagd uw inloggegevens voor de beheerder van Partner Hub in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor hybride gegevensbeveiliging.
8	Klik op de overzichtspagina van de Setup Tool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg voor connectiviteit met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad CMK-beheer voor huurders, waar u de volgende drie manieren vindt om CMK's voor huurders te beheren. Creëer CMK voor alle organisaties of creëer CMK - Klik op deze knop op de banner bovenaan het scherm om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's aanmaken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik dichtbij het CMK-beheer in afwachting van de status van een specifieke organisatie in de tabel en klik op Create CMK om CMK voor die organisatie aan te maken.
12	Zodra de CMK-creatie succesvol is, verandert de status in de tabel van CMK-beheer in behandeling naar CMK-beheerd.
13	Als het aanmaken van de CMK niet lukt, wordt er een foutmelding weergegeven.

Huurdersorganisaties verwijderen

Voordat u begint

Eenmaal verwijderd, kunnen gebruikers van klantenorganisaties HDS niet meer gebruiken voor hun coderingsbehoeften en verliezen ze alle bestaande ruimte. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Meld u aan op https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in de sectie Hybrid Data Security naar Hybrid Data Security en klik op Alles weergeven.
4	Klik op de pagina die wordt geopend op het tabblad Toegewezen klanten.
5	In de lijst van klantenorganisaties die wordt weergegeven, klikt u op aan de rechterkant van de klantenorganisatie die u wilt verwijderen en klik op Verwijderen uit cluster.

Wat nu te doen

Voltooi het verwijderingsproces door de CMK's van de klantenorganisaties in te trekken, zoals beschreven in CMK's intrekken van huurders die uit HDS zijn verwijderd.

CMK's intrekken van huurders die uit HDS zijn verwijderd.

Voordat u begint

Klanten verwijderen zoals beschreven in Tenantorganisaties verwijderen. Voer de HDS Setup-tool uit om het verwijderingsproces te voltooien voor de klantenorganisaties die zijn verwijderd.

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Docker op die computer uitvoeren. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving	Variabel
HTTP-proxy zonder authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy zonder authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy met authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de laatste kopie van dit bestand nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals deze:
- Inloggegevens voor de database
- Updates van certificaten
- Wijzigingen in het autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Tijdens het installatieproces van Hybrid Data Security wordt een ISO-bestand gemaakt. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de commandoregel van uw computer de juiste opdracht in voor uw omgeving: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Met deze stap worden afbeeldingen van eerdere HDS-installatietools opgeschoond. Als er geen eerdere afbeeldingen zijn, wordt een fout geretourneerd die u kunt negeren.
2	Voer het volgende in om u aan te melden bij het Docker-beeldregister: `docker login -u hdscustomersro`
3	Voer deze hash in bij de wachtwoordprompt: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download het meest recente stabiele image voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Wanneer de pull is voltooid, voert u de juiste opdracht in voor uw omgeving: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Als de container draait, ziet u „Express server listening on port 8080”.
6	De installatietool ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost te gaan, `http://127.0.0.1:8080`, en voer bij de prompt de gebruikersnaam van de beheerder voor Partner Hub in. De tool gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool geeft vervolgens de standaard aanmeldingsprompt weer.
7	Voer desgevraagd uw inloggegevens voor de beheerder van Partner Hub in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor hybride gegevensbeveiliging.
8	Klik op de overzichtspagina van de Setup Tool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het tabblad CMK-beheer voor huurders, waar u de volgende drie manieren vindt om CMK's voor huurders te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop op de banner bovenaan het scherm om CMK's in te trekken van alle organisaties die zijn verwijderd. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's intrekken om CMK's in te trekken van alle organisaties die zijn verwijderd. Klik dichtbij de CMK om de status van een specifieke organisatie in de tabel in te trekken en klik op CMK intrekken om de CMK voor die specifieke organisatie in te trekken.
12	Zodra de CMK-herroeping succesvol is, verschijnt de klantenorganisatie niet langer in de tabel.
13	Als de CMK-herroeping mislukt, wordt er een foutmelding weergegeven.

Test uw implementatie van hybride gegevensbeveiliging

Gebruik deze procedure om coderingsscenario's voor hybride gegevensbeveiliging met meerdere huurders te testen.

Voordat u begint

Stel uw implementatie voor hybride gegevensbeveiliging voor meerdere huurders in.
Zorg ervoor dat u toegang hebt tot de syslog om te controleren of belangrijke verzoeken worden doorgestuurd naar uw Multi-Tenant Hybrid Data Security-implementatie.

1

De sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte aan.

Als u de implementatie van Hybrid Data Security deactiveert, is de inhoud in ruimten die gebruikers aanmaken niet langer toegankelijk zodra de kopieën van de coderingssleutels die in de cache van de client zijn opgeslagen, zijn vervangen.

2

Stuur berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te controleren of de belangrijkste verzoeken worden doorgegeven aan uw Hybrid Data Security-implementatie.

Als een gebruiker van een nieuw toegevoegde klantorganisatie een actie uitvoert, verschijnt de organisatie-ID van de organisatie in de logboeken, en deze kan worden gebruikt om te verifiëren dat de organisatie gebruikmaakt van Multi-Tenant HDS. Controleer de waarde van KMS.Data.orgID in de syslogs.

Om te controleren of een gebruiker eerst een beveiligd kanaal naar het KMS heeft ingesteld, filtert u op kms.data.method=create en kms.data.type=ephemeral_key_collection:

U zou een item moeten vinden zoals de volgende (identificatiegegevens zijn ingekort voor de leesbaarheid):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een bestaande sleutel aanvraagt bij het KMS, filtert u op kms.data.method=retrieve en KMS.data.type=Key:

U zou een item moeten vinden zoals:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of er een gebruiker is die een nieuwe KMS-sleutel wil aanmaken, filtert u op kms.data.method=create en KMS.data.type=KEY_COLLECTION:

U zou een item moeten vinden zoals:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een nieuw KMS Resource Object (KRO) wil aanmaken wanneer een ruimte of een andere beveiligde bron wordt aangemaakt, filtert u op kms.data.method=create en KMS.data.type=resource_collection:

U zou een item moeten vinden zoals:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

HDS-logboeken interpreteren en labels van agenten begrijpen

HDS-logboeken bevatten gedetailleerde informatie over KMS-aanvragen. Deze logboeken bevatten verschillende velden die helpen bij het identificeren van de aard van het verzoek en de bijbehorende identiteit. Het begrijpen van deze velden is essentieel voor een correcte interpretatie van activiteiten en betrouwbare interne operaties.

Terminologie

Voor alle duidelijkheid bij het bekijken van de HDS-logboeken is het belangrijk dat u de volgende termen begrijpt:

Termijn	Definitie
Servicerekening	Een service-identiteit waarmee Webex-services geautoriseerde acties veilig kunnen uitvoeren.
Agent	Een service-entiteit of een serviceaccountidentiteit die wordt gebruikt om geautomatiseerde operaties uit te voeren binnen de HDS-omgeving.
Label van de agent	Een tag die is opgenomen in de HDS-logboeken die de specifieke bron en het type van een binnenkomend verzoek identificeert, waardoor effectieve toegangscontrole mogelijk is.
Gedelegeerde toegang	Een geautoriseerd serviceaccount dat een aanvraag doet voor een specifieke gebruiker, binnen de rechten van die gebruiker. Verschijnt als een delegatieverzoek: `agent -> gebruikersnaam`.

De term „agent” verwijst in deze context specifiek naar de identiteiten van de HDS-diensten. Deze zijn niet gerelateerd aan de door AI aangedreven agenten die worden gebruikt in andere Webex-functies.

Een verzoek wordt alleen ingewilligd als het afkomstig is van:

een geverifieerde gebruiker in uw organisatie, of
een serviceaccount dat gevestigd is in en geautoriseerd is door uw organisatie.

Overzicht van logvelden

Veld	Waar het voor staat
Tijdstempel	Datum en tijd van de operatie.
kms.data.methode	De KMS-bewerking die is uitgevoerd (bijvoorbeeld ophalen).
kms.data.orgld	Identificatiecode van de organisatie.
KMS.Data.Http gebruikersagent	De klant of dienst die de aanvraag doet.
WEBEX_TRACKINGID	Unieke tracking-ID voor de aanvraag.
KMS.Data.UriHost/kms.data.uri	De host en de bron waarop het verzoek betrekking heeft.
kms.data.userld	De identiteit die het verzoek heeft uitgevoerd, met inbegrip van het label van een agent.
kms.response.success	Geeft aan of de aanvraag is geslaagd.

Soorten aanvragen - Beknopte informatie

Tag in het logboek	Label van de agent	Waar het voor staat	Typische operaties
Gebruikerstype: UserAgent	User Agent	Een vertrouwd serviceaccount dat gekoppeld is aan een gebruikersworkflow, aangepast aan uw organisatie.	Sleutels aanmaken en beheren voor een gebruikersproces.
o-agent <id>-> gebruikersnaam <id>	Agent van de organisatie	Een vertrouwde serviceaccount op organisatieniveau waarbij gebruik wordt gemaakt van gedelegeerde toegang.	Extractie van Webex-gegevens door de nalevingsfunctionaris, agenda-integraties.
c-agent <id>-> gebruikersnaam <id>	Cloud Agent	Een Webex-service die een gedelegeerd verzoek uitvoert voor een specifieke gebruiker.	Virusscans, voorvertoning van de inhoud, transcripties.
c-agent <id>	Cloud Agent	Een Webex-service die een gedelegeerd verzoek uitvoert.	ECDHE/sessietoetsen.
UUID voor eindgebruikers	-	De geverifieerde eindgebruiker die interageert met HDS.	Een gebruiker die zijn eigen sleutel ophaalt.

Soorten aanvragen - In detail

Etiketten van agenten categoriseren de bron van het verzoek en helpen bij het bepalen van de juiste toegangscontroles. De volgende voorbeelden tonen meerdere aanvraagtypes en de bijbehorende agentlabels.

Gebruikersagent (UserAgent):

Dit zijn vertrouwde Webex-serviceaccounts die zijn gekoppeld aan specifieke gebruikersworkflows en die zijn afgestemd op de klantorganisatie. Ze worden meestal gebruikt wanneer een service sleutels aanmaakt en beheert namens een gebruikersworkflow.

Voorbeeldlogboek:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Belangrijke indicator: Het voorbeeldlogboek toont een gebruikersagent (UserAgent) die bronverzamelingen uitvoert voor een Webex-service.
Organisatieagent (co-agent):

Deze vertrouwde Webex-serviceaccounts zijn bevoegd om gedelegeerde bewerkingen uit te voeren namens gebruikers binnen HDS. Deze accounts zijn gericht op de klantorganisatie en voeren activiteiten op organisatieniveau uit. Deze functionaliteit ondersteunt verschillende functies, zoals het mogelijk maken van nalevingsfunctionarissen om Webex-communicatiegegevens te zoeken en te extraheren, zodat de organisatie wordt afgestemd op de normen op het gebied van regelgeving, beveiliging en gegevensprivacy.

Voorbeeldlogboek:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Belangrijke indicator: Het voorbeeldlogboek toont een organisatieagent (o-agent 9 [~] c) die namens de gebruiker een sleutel ophaalt (4 [~] b) voor een Webex-service.
Cloud Agent (c-agent):
Deze vertrouwde Webex-serviceaccounts zijn gemachtigd om namens een gebruiker bewerkingen uit te voeren op HDS via gedelegeerde toegang. Ze ondersteunen essentiële functies, zoals opnames na een vergadering, transcripties, antimalwarescanning en bestandsvoorbeelden die de algehele gebruikerservaring verbeteren.

Cloud Agents kunnen worden uitgeschakeld door de ISO aan te passen, maar klanten moeten zich ervan bewust zijn dat dit zal resulteren in een verlies van functies, zoals opnames na de vergadering, transcripties, bestandsvoorbeelden en automatische antimalwarescanning in Webex App Spaces. Zie de sectie Cloud Agents uitschakelen voor meer informatie.

Voorbeeldlogboek:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Belangrijke indicator: Het voorbeeldlogboek toont een cloudagent (c-agent b [~] c) die namens de gebruiker een inhoudssleutel ophaalt (9 [~] c).

Directe interactie met eindgebruikers:

Een geverifieerde gebruiker die rechtstreeks met HDS communiceert.

Voorbeeldlogboek:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Belangrijke indicator: Het voorbeeldlogboek toont een eindgebruiker (c [~] f) die een sleutel ophaalt en rechtstreeks met HDS communiceert.

Bewaak de gezondheid van hybride gegevensbeveiliging

Een statusindicator in Partner Hub laat zien of alles goed is met de implementatie van Multi-Tenant Hybrid Data Security. Meld u aan voor e-mailmeldingen als u proactiever wilt waarschuwen. U krijgt een melding als er alarmen of software-upgrades zijn die van invloed zijn op de service.

1	Selecteer in Partner Hub Services in het menu aan de linkerkant van het scherm.
2	Zoek Hybrid Data Security in de sectie Hybrid Data Security en klik op Instellingen bewerken. De pagina Hybrid Data Security Settings verschijnt.
3	Typ in het gedeelte E-mailmeldingen een of meer e-mailadressen, gescheiden door komma's, en druk op Enter.

Beheer uw HDS-implementatie

De HDS-implementatie beheren

Gebruik de taken die hier worden beschreven om uw implementatie van hybride gegevensbeveiliging te beheren.

Stel een schema voor een clusterupgrade in

Software-upgrades voor hybride gegevensbeveiliging worden automatisch uitgevoerd op clusterniveau, wat ervoor zorgt dat alle knooppunten altijd dezelfde softwareversie gebruiken. De upgrades worden uitgevoerd volgens het upgradeschema voor het cluster. Wanneer een software-upgrade beschikbaar komt, hebt u de mogelijkheid om het cluster handmatig te upgraden vóór de geplande upgradetijd. U kunt een specifiek upgradeschema instellen of het standaardschema van 3.00 uur per dag in de Verenigde Staten: Amerika/Los Angeles gebruiken. U kunt er ook voor kiezen om een aanstaande upgrade uit te stellen, indien nodig.

Om het upgradeschema in te stellen:

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in de sectie Hybrid Data Security naar Hybrid Data Security en klik op Instellen.
4	Selecteer het cluster op de pagina Hybrid Data Security Resources.
5	Klik op het tabblad Clusterinstellingen.
6	Selecteer op de pagina Clusterinstellingen onder Upgradeschema de tijd en tijdzone voor het upgradeschema. Opmerking: In de tijdzone worden de volgende beschikbare upgradedatum en -tijd weergegeven. Indien nodig kunt u de upgrade uitstellen tot de volgende dag door op Uitstellen met 24 uur te klikken.

De node-configuratie wijzigen

Soms moet u de configuratie van uw Hybrid Data Security-knooppunt wijzigen om bijvoorbeeld:

X.509-certificaten wijzigen vanwege de vervaldatum of om andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat werd gebruikt om het cluster te registreren.
Database-instellingen bijwerken om over te schakelen naar een replica van de PostgreSQL- of Microsoft SQL Server-database.

We bieden geen ondersteuning voor de migratie van gegevens van PostgreSQL naar Microsoft SQL Server, of omgekeerd. Om van databaseomgeving te veranderen, moet u een nieuwe implementatie van Hybrid Data Security starten.
Een nieuwe configuratie aanmaken om een nieuw datacenter voor te bereiden.

Om veiligheidsredenen maakt Hybrid Data Security ook gebruik van wachtwoorden voor serviceaccounts met een levensduur van negen maanden. Nadat de HDS Setup tool deze wachtwoorden heeft gegenereerd, implementeert u ze op elk van uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen zijn, ontvangt u een bericht van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (De e-mail bevat de tekst: „Gebruik de API van het machineaccount om het wachtwoord bij te werken.”) Als uw wachtwoorden nog niet verlopen zijn, biedt de tool u twee opties:

Zachte reset — De oude en nieuwe wachtwoorden werken beide tot 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten geleidelijk te vervangen.
Harde reset — De oude wachtwoorden werken onmiddellijk niet meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, heeft dat gevolgen voor uw HDS-service, waarbij een onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten vereist is.

Gebruik deze procedure om een nieuw ISO-bestand voor de configuratie te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Docker op die computer uitvoeren. Het installatieproces vereist de inloggegevens van een Partner Hub-account met volledige beheerdersrechten van de partner.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1.a tot en met 1.e in de onderstaande procedure. Zie HDS Setup Tool uitvoeren met Podman Desktop voor meer informatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container in 1.e opent. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving	Variabel
HTTP-proxy zonder authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy zonder authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy met authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

U hebt een kopie nodig van het huidige ISO-bestand voor de configuratie om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel die de PostgreSQL- of Microsoft SQL Server-database versleutelt. U hebt de ISO nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals inloggegevens voor de database, certificaatupdates of wijzigingen in het autorisatiebeleid.

1	Gebruik Docker op een lokale computer en voer de HDS Setup Tool uit. Voer op de commandoregel van uw computer de juiste opdracht in voor uw omgeving: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Met deze stap worden afbeeldingen van eerdere HDS-installatietools opgeschoond. Als er geen eerdere afbeeldingen zijn, wordt een fout geretourneerd die u kunt negeren. Voer het volgende in om u aan te melden bij het Docker-beeldregister: `docker login -u hdscustomersro` Voer deze hash in bij de wachtwoordprompt: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download het meest recente stabiele image voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable` Zorg ervoor dat u de meest recente installatietool gebruikt voor deze procedure. Versies van de tool die vóór 22 februari 2018 zijn gemaakt, hebben geen schermen voor het opnieuw instellen van het wachtwoord. Wanneer de pull is voltooid, voert u de juiste opdracht in voor uw omgeving: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Als de container draait, ziet u „Express server listening on port 8080”. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De installatietool ondersteunt geen verbinding met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Voer desgevraagd de inloggegevens van uw Partner Hub-klant in en klik vervolgens op Accepteren om door te gaan. Importeer het huidige ISO-bestand voor de configuratie. Volg de aanwijzingen om de tool te voltooien en het bijgewerkte bestand te downloaden. Om de installatietool uit te schakelen, typt `u CTRL+C`. Maak een reservekopie van het bijgewerkte bestand in een ander datacenter.
2	Als er maar één HDS-knooppunt actief is, maak dan een nieuwe VM voor hybride gegevensbeveiligingsknooppunten en registreer deze met behulp van het nieuwe ISO-bestand voor de configuratie. Zie Meer knooppunten aanmaken en registreren voor meer gedetailleerde instructies. Installeer de HDS-host OVA. Stel de HDS VM in. Koppel het bijgewerkte configuratiebestand aan. Registreer het nieuwe knooppunt in Partner Hub.
3	Voor bestaande HDS-knooppunten waarop het oudere configuratiebestand wordt uitgevoerd, koppelt u het ISO-bestand aan. Voer op elk knooppunt beurtelings de volgende procedure uit, waarbij u elk knooppunt bijwerkt voordat u het volgende knooppunt uitschakelt: Voor VMware-implementaties: Zet de virtuele HDS-machine uit. Selecteer in de VMware vSphere Client de virtuele HDS-machine. Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken. Selecteer een CD/DVD-station 1. Als er momenteel een ISO-bestand is bijgevoegd, moet u dat loskoppelen voordat u verder gaat. Selecteer Datastore ISO File en selecteer vervolgens het nieuwe ISO-bestand voor de configuratie. Selecteer Aangesloten en Aansluiten wanneer het apparaat wordt ingeschakeld. Sla de wijzigingen op en zet de virtuele machine aan. Voor NFVIS-implementaties: Navigeer naar Configuratie > Virtuele machine > Images > Image Repository en upload het nieuwe ISO-configuratiebestand naar de NFVIS-beeldbank. Navigeer naar Configuratie > Virtuele machine > Beheer en selecteer de virtuele HDS-machine. Zet de virtuele HDS-machine uit en wacht tot de status verandert in Shutdown. CD-ROM-apparaten openen. Als er momenteel een ISO-bestand is bijgevoegd, ontkoppel het dan en controleer of er geen ISO-bestand bijgevoegd blijft. Selecteer Bijvoegen en selecteer vervolgens het zojuist geüploade ISO-configuratiebestand. Voltooi de bewerking en controleer of het nieuwe ISO-bestand voor de configuratie in de lijst staat. Start de virtuele HDS-machine. Voor Nutanix-implementaties: Ga in Prism Central naar Infrastructuur > Compute > Images. Selecteer Afbeelding toevoegen. Selecteer onder Afbeeldingsbron de optie Afbeeldingsbestand en selecteer vervolgens Bestand toevoegen. Selecteer de nieuwe ISO-configuratie en controleer of Type is ingesteld op ISO. Voltooi de locatieselectie voor het doelcluster en voltooi de upload. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt. Open het tabblad Schijven van de VM. Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen. Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power On. Bevestig dat er gedurende ten minste 15 minuten geen alarmen optreden.
4	Herhaal stap 3 om de configuratie te vervangen op elk overblijvend knooppunt waarop de oude configuratie wordt uitgevoerd.

Schakel de modus voor geblokkeerde externe DNS-resolutie uit

Wanneer u een node registreert of de proxyconfiguratie van het knooppunt controleert, worden de DNS-lookup en de connectiviteit met de Cisco Webex cloud getest. Als de DNS-server van het knooppunt geen openbare DNS-namen kan oplossen, gaat het knooppunt automatisch over naar de modus Geblokkeerde externe DNS-resolutie.

Als uw nodes openbare DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxyverbindingstest op elk knooppunt opnieuw uit te voeren.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers openbare DNS-namen kunnen omzetten en dat uw nodes met hen kunnen communiceren.

1	Open in een webbrowser de interface van het Hybrid Data Security-knooppunt (IP-adres/instellingen, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersgegevens in die u voor het knooppunt hebt ingesteld en klik vervolgens op Aanmelden.
2	Ga naar Overzicht (de standaardpagina). Indien ingeschakeld, is Blocked External DNS Resolution ingesteld op Ja.
3	Ga naar de pagina Trust Store & Proxy.
4	Klik op Proxyverbinding controleren. Als u een bericht ziet waarin staat dat de externe DNS-resolutie niet is gelukt, kon het knooppunt de DNS-server niet bereiken en blijft het in deze modus. Anders, nadat u de node opnieuw hebt opgestart en bent teruggegaan naar de overzichtspagina, moet de Blocked External DNS Resolution worden ingesteld op nee.

Wat nu te doen

Herhaal de proxyverbindingstest op elk knooppunt in uw Hybrid Data Security-cluster.

Een node verwijderen

Gebruik deze procedure om een Hybrid Data Security-knooppunt uit de Webex-cloud te verwijderen. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de beheerinterface voor de hypervisor in uw implementatie om de virtuele HDS-machine te lokaliseren en uit te schakelen.

2

Verwijder het knooppunt:

Meld u aan bij Partner Hub en selecteer vervolgens Services.
Klik op de Hybrid Data Security-kaart op Alles weergeven om de pagina Hybrid Data Security Resources weer te geven.
Selecteer uw cluster om het overzichtspaneel weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Deregistreren van dit knooppunt op het paneel dat aan de rechterkant verschijnt.
U kunt het knooppunt ook deregistreren door op... aan de rechterkant van het knooppunt te klikken en Knooppunt deregistreren te selecteren.

3

Gebruik de beheerinterface voor de hypervisor tijdens uw implementatie om de virtuele HDS-machine te lokaliseren en te verwijderen.

Als u de VM niet verwijdert, vergeet dan niet het ISO-configuratiebestand te ontkoppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken om toegang te krijgen tot uw beveiligingsgegevens.

Stand-by datacenter voor noodherstel

Tijdens de implementatie hebt u een beveiligd datacenter in stand-by opgezet. In het geval van een datacenterramp kunt u uw implementatie handmatig uitzetten naar het standby-datacenter.

De databases van de actieve datacenters en de stand-bydatacenters zijn met elkaar gesynchroniseerd, waardoor de tijd die nodig is om de failover uit te voeren tot een minimum wordt beperkt.

De actieve hybride gegevensbeveiligingsknooppunten moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Stel een stand-by datacenter in voor noodherstel

Volg de onderstaande stappen om het ISO-bestand van het standby-datacenter te configureren:

Voordat u begint

Het standby-datacenter moet een afspiegeling zijn van de productieomgeving van VM's en een back-up van een PostgreSQL- of Microsoft SQL Server-database. Als de productie bijvoorbeeld drie VM's heeft waarop HDS-knooppunten draaien, moet de back-upomgeving uit 3 VM's bestaan. (Zie Standby Data Center for Disaster Recovery voor een overzicht van dit failovermodel.)
Zorg ervoor dat de databasesynchronisatie is ingeschakeld tussen de database van actieve en passieve clusterknooppunten.

1	Start de HDS Setup tool en volg de stappen die worden vermeld in Create a Configuration ISO for the HDS Hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden uitgevoerd.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe om het knooppunt in passieve modus te zetten. In deze modus wordt het knooppunt geregistreerd bij de organisatie en verbonden met de cloud, maar kan het geen verkeer verwerken. `passiveMode: 'true'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een locatie op die gemakkelijk te vinden is.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Bewaar de reservekopie veilig. Dit bestand bevat een hoofdcoderingssleutel voor de inhoud van de database. Beperk de toegang tot alleen die Hybrid Data Security-beheerders die wijzigingen in de configuratie moeten aanbrengen.
6	Koppel het ISO-bestand voor de configuratie: Voordat u de nieuwe ISO-configuratie monteert: Schakel de HDS-node uit. Controleer of er momenteel geen ISO-bestand is bijgevoegd. Als er een ISO-bestand is bijgevoegd, moet u dat loskoppelen voordat u verder gaat. Voor VMware-implementaties: Selecteer in de VMware vSphere Client de virtuele HDS-machine. Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken. Selecteer een CD/DVD-station 1. Selecteer Datastore ISO File en selecteer vervolgens het nieuwe ISO-bestand voor de configuratie. Zorg ervoor dat Connected en Connect at power on zijn geselecteerd. Sla de wijzigingen op. Voor NFVIS-implementaties: Navigeer naar Configuratie > Virtuele machine > Images > Image Repository en upload het nieuwe ISO-configuratiebestand naar de NFVIS-beeldbank. Navigeer naar Configuratie > Virtuele machine > Beheer en selecteer de virtuele HDS-machine. Open CD-ROM-apparaten en controleer of er momenteel geen ISO-bestand is bijgevoegd. Selecteer Bijvoegen en selecteer vervolgens het zojuist geüploade ISO-configuratiebestand. Voltooi de bewerking en controleer of het nieuwe ISO-bestand voor de configuratie is bijgevoegd. Voor Nutanix-implementaties: Ga in Prism Central naar Infrastructuur > Compute > Images. Selecteer Afbeelding toevoegen. Selecteer onder Afbeeldingsbron de optie Afbeeldingsbestand en selecteer vervolgens Bestand toevoegen. Selecteer de nieuwe ISO-configuratie en controleer of Type is ingesteld op ISO. Voltooi de locatieselectie voor het doelcluster en voltooi de upload. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt. Open het tabblad Schijven van de VM. Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen. Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM.
7	Zet de HDS-node aan en zorg ervoor dat er gedurende minstens 15 minuten geen alarmen zijn.
8	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslogs om te controleren of de knooppunten zich in passieve modus bevinden. U zou het bericht „KMS geconfigureerd in passieve modus” in de syslogs moeten kunnen zien.

Wat nu te doen

Nadat u PassiveMode in het ISO-bestand hebt geconfigureerd en opgeslagen, kunt u nog een kopie van het ISO-bestand maken zonder de PassiveMode-configuratie en dat op een veilige locatie opslaan. Deze kopie van het ISO-bestand zonder dat PassiveMode is geconfigureerd, kan helpen bij een snel failoverproces tijdens noodherstel. Zie Noodherstel met behulp van Standby Data Center voor de gedetailleerde failoverprocedure.

Noodherstel met behulp van een standby-datacenter

De belangrijkste service die uw Hybrid Data Security-cluster biedt, is het aanmaken en opslaan van sleutels die worden gebruikt voor het versleutelen van berichten en andere inhoud die is opgeslagen in de Webex-cloud. Voor elke gebruiker binnen de organisatie die is toegewezen aan Hybrid Data Security, worden nieuwe aanvragen voor het aanmaken van sleutels naar het cluster gestuurd. Het cluster is ook verantwoordelijk voor het teruggeven van de sleutels die het heeft aangemaakt aan alle gebruikers die gemachtigd zijn om ze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de cruciale functie vervult, namelijk het verstrekken van deze sleutels, is het absoluut noodzakelijk dat het cluster actief blijft en dat de juiste back-ups worden bijgehouden. Verlies van de Hybrid Data Security-database of van de configuratie-ISO die voor het schema wordt gebruikt, zal resulteren in een ONHERSTELBAAR VERLIES van klantcontent. De volgende praktijken zijn verplicht om een dergelijk verlies te voorkomen:

Als een noodsituatie ervoor zorgt dat de HDS-implementatie in het primaire datacenter niet meer beschikbaar is, volg dan deze procedure om handmatig over te schakelen naar het stand-bydatacenter.

Voordat u begint

Gebruik het meest recente ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat eerder actief was, om de failoverprocedure uit te voeren die hieronder wordt vermeld.

1	Start de HDS Setup tool en volg de stappen die worden vermeld in Create a Configuration ISO for the HDS Hosts.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe of verwijder de `PassiveMode-configuratie` om de node actief te maken. Het knooppunt kan het verkeer verwerken als dit eenmaal is geconfigureerd. `passiveMode: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een locatie op die gemakkelijk te vinden is.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Bewaar de reservekopie veilig. Dit bestand bevat een hoofdcoderingssleutel voor de inhoud van de database. Beperk de toegang tot alleen die Hybrid Data Security-beheerders die wijzigingen in de configuratie moeten aanbrengen.
6	Koppel het ISO-bestand voor de configuratie: Voordat u de nieuwe ISO-configuratie monteert: Schakel de HDS-node uit. Controleer of er momenteel geen ISO-bestand is bijgevoegd. Als er een ISO-bestand is bijgevoegd, moet u dat loskoppelen voordat u verder gaat. Voor VMware-implementaties: Selecteer in de VMware vSphere Client de virtuele HDS-machine. Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken. Selecteer een CD/DVD-station 1. Selecteer Datastore ISO File en selecteer vervolgens het nieuwe ISO-bestand voor de configuratie. Zorg ervoor dat Connected en Connect at power on zijn geselecteerd. Sla de wijzigingen op. Voor NFVIS-implementaties: Navigeer naar Configuratie > Virtuele machine > Images > Image Repository en upload het nieuwe ISO-configuratiebestand naar de NFVIS-beeldbank. Navigeer naar Configuratie > Virtuele machine > Beheer en selecteer de virtuele HDS-machine. Open CD-ROM-apparaten en controleer of er momenteel geen ISO-bestand is bijgevoegd. Selecteer Bijvoegen en selecteer vervolgens het zojuist geüploade ISO-configuratiebestand. Voltooi de bewerking en controleer of het nieuwe ISO-bestand voor de configuratie is bijgevoegd. Voor Nutanix-implementaties: Ga in Prism Central naar Infrastructuur > Compute > Images. Selecteer Afbeelding toevoegen. Selecteer onder Afbeeldingsbron de optie Afbeeldingsbestand en selecteer vervolgens Bestand toevoegen. Selecteer de nieuwe ISO-configuratie en controleer of Type is ingesteld op ISO. Voltooi de locatieselectie voor het doelcluster en voltooi de upload. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt. Open het tabblad Schijven van de VM. Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen. Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM.
7	Zet de HDS-node aan en zorg ervoor dat er gedurende minstens 15 minuten geen alarmen zijn.
8	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslog-uitvoer om te controleren of de knooppunten van het standby-datacenter niet in passieve modus staan. „KMS geconfigureerd in passieve modus” zou niet in de syslogs moeten voorkomen.

Wat nu te doen

Als het primaire datacenter na een failover weer actief wordt, zet u het stand-bydatacenter weer in de passieve modus door de stappen te volgen die zijn beschreven in Een stand-bydatacenter instellen voor noodherstel.

(Optioneel) ISO ontkoppelen na de HDS-configuratie

De standaard HDS-configuratie werkt met de ISO aangekoppeld. Maar sommige klanten geven er de voorkeur aan om ISO-bestanden niet continu te laten mounten. U kunt het ISO-bestand ontkoppelen nadat alle HDS-knooppunten de nieuwe configuratie hebben overgenomen.

U gebruikt de ISO-bestanden nog steeds om de configuratie te wijzigen. Wanneer u een nieuwe ISO aanmaakt of een ISO bijwerkt via de Setup Tool, moet u de bijgewerkte ISO op al uw HDS-knooppunten mounten. Zodra al uw nodes de wijzigingen in de configuratie hebben verwerkt, kunt u met deze procedure de ISO opnieuw ontkoppelen.

Voordat u begint

Upgrade al uw HDS-knooppunten naar versie 2025.06.02.6983 of hoger.

Koppel het ISO-bestand voor de configuratie los.

Voor VMware-implementaties:

Eén HDS-node uitschakelen.
Selecteer in de VMware vSphere-client de virtuele HDS-machine.
Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken.
Selecteer CD/DVD-station 1 en koppel het aangekoppelde ISO-configuratiebestand los.
Schakel Connected and Connect uit bij het inschakelen en sla de wijzigingen op.
Zet de HDS-node aan en controleer of er gedurende minstens 20 minuten geen alarmen optreden.
Herhaal deze stappen voor de resterende HDS-knooppunten, één voor één.

Voor NFVIS-implementaties:

Navigeer naar Configuratie > Virtuele machine > Eén virtuele HDS-machine beheren en selecteren.
Zet de VM uit en wacht tot de status verandert in Shutdown.
CD-ROM-apparaten openen.
Selecteer het bijgevoegde ISO-bestand voor de configuratie en klik op Ontkoppelen.
Controleer of het ISO-bestand niet langer is gekoppeld aan de virtuele machine.
Start het HDS-knooppunt en controleer of er gedurende minstens 20 minuten geen alarmen optreden.
Herhaal deze stappen voor de resterende HDS-knooppunten, één voor één.

Voor Nutanix-implementaties:

Ga naar Infrastructuur > Compute > VM's en selecteer één virtuele HDS-machine.
Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt.
Open het tabblad Schijven van de VM.
Selecteer de ISO-invoer voor de configuratie waarvan het type een cd-rom is.
Klik op Uitwerpen.
Bevestig dat de configuratie-ISO niet langer is aangekoppeld.
Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power On.
Bevestig dat er gedurende ten minste 15 minuten geen alarmen optreden.
Herhaal deze stappen voor de resterende HDS-knooppunten, één voor één.

Problemen met hybride gegevensbeveiliging oplossen

Waarschuwingen bekijken en problemen oplossen

Een implementatie van hybride gegevensbeveiliging wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn, of als het cluster zo langzaam werkt dat er een time-out wordt aangevraagd. Als gebruikers uw Hybrid Data Security-cluster niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe spaties worden aangemaakt (kan geen nieuwe sleutels aanmaken)
Berichten en ruimtetitels kunnen niet worden ontcijferd voor:
- Nieuwe gebruikers toegevoegd aan een space (niet in staat om sleutels op te halen)
- Bestaande gebruikers in een ruimte die een nieuwe client gebruikt (niet in staat om sleutels op te halen)
Bestaande gebruikers in een ruimte zullen succesvol blijven werken zolang hun klanten een cache met coderingssleutels hebben

Het is belangrijk dat u uw Hybrid Data Security-cluster goed in de gaten houdt en eventuele waarschuwingen onmiddellijk behandelt om onderbreking van de dienstverlening te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van Hybrid Data Security, geeft Partner Hub waarschuwingen weer aan de beheerder van de organisatie en stuurt e-mails naar het geconfigureerde e-mailadres. De waarschuwingen hebben betrekking op veel voorkomende scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om ze op te lossen
Waarschuwing	Actie
Fout bij de toegang tot de lokale database.	Controleer op databasefouten of problemen met het lokale netwerk.
De verbinding met de lokale database is mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste inloggegevens voor het serviceaccount zijn gebruikt bij de configuratie van het knooppunt.
De toegang tot de cloudservice is mislukt.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Externe connectiviteitsvereisten.
Verlenging van de registratie voor clouddiensten.	De registratie voor clouddiensten is ingetrokken. De verlenging van de registratie is bezig.
De registratie van de clouddienst is ingetrokken.	De registratie voor clouddiensten is beëindigd. De service wordt stopgezet.
De service is nog niet geactiveerd.	Activeer HDS in de Partner Hub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Controleer of uw servercertificaat overeenkomt met het geconfigureerde activeringsdomein voor de service. De meest waarschijnlijke oorzaak is dat het certificaat CN onlangs is gewijzigd en nu anders is dan het CN dat werd gebruikt tijdens de eerste installatie.
Authenticatie bij cloudservices is mislukt.	Controleer of de inloggegevens van uw serviceaccount correct zijn en of deze verlopen zijn.
Kon het lokale keystore-bestand niet openen.	Controleer de integriteit en de nauwkeurigheid van het wachtwoord in het lokale keystore-bestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwdeCertificate Authority.
Kan geen statistieken publiceren.	Controleer de toegang tot externe clouddiensten op het lokale netwerk.
De map /media/configdrive/hds bestaat niet.	Controleer de ISO-mount-configuratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om te worden gekoppeld wanneer het opnieuw wordt opgestart, en of het met succes wordt gekoppeld.
De installatie van de tenantorganisatie is niet voltooid voor de toegevoegde organisaties	Voltooi de installatie door CMK's te maken voor nieuw toegevoegde huurdersorganisaties met behulp van de HDS Setup Tool.
De installatie van de tenantorganisatie is niet voltooid voor de verwijderde organisaties	Voltooi de installatie door CMK's in te trekken van tenantorganisaties die zijn verwijderd met behulp van de HDS Setup Tool.

Problemen met hybride gegevensbeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybrid Data Security.

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in de sectie Hybrid Data Security naar Hybrid Data Security en klik op Gebeurtenissen.
4	Bekijk de pagina met de geschiedenis van gebeurtenissen op eventuele waarschuwingen en corrigeer eventuele items die u daar aantreft. Zie de afbeelding hieronder ter referentie.
5	Controleer de uitvoer van de syslogserver op activiteiten uit de Hybrid Data Security-implementatie. Filter op woorden zoals „Waarschuwing” en „Fout” om te helpen bij het oplossen van problemen.
6	Neem contact op met de klantenservice van Cisco.

API's voor ontwikkelaars van HDS

De HDS Developer API's zijn een manier om analyse- en bewakingsgegevens op te halen en om problemen met uw HDS-implementaties op te lossen via de Webex Developer Portal. De API's zijn beschikbaar op https://developer.webex.com/messaging/docs/api/v1/hds.

Andere notities

Bekende problemen op het gebied van hybride gegevensbeveiliging

Als u al uw actieve Hybrid Data Security-clusters afsluit (door ze te verwijderen in Partner Hub of door alle knooppunten uit te schakelen), uw ISO-configuratiebestand kwijtraakt of de toegang tot de keystore-database verliest, kunnen Webex App-gebruikers van klantorganisaties niet langer spaties gebruiken in hun lijst met personen die zijn gemaakt met sleutels uit uw KMS. We hebben momenteel geen oplossing of oplossing voor dit probleem en raden u aan uw HDS-diensten niet af te sluiten zodra ze actieve gebruikersaccounts hebben verwerkt.
Een klant die een bestaande ECDH-verbinding met een KMS heeft, onderhoudt die verbinding gedurende een bepaalde periode (waarschijnlijk een uur).

HDS op NFVIS implementeren en configureren

Volg de onderstaande procedures om HDS te implementeren op een NFVIS-hypervisor. Het proces omvat de installatie van de HDS OVA, het instellen van de VM, het koppelen van de configuratie-ISO en het verifiëren van de implementatie.

Installeer de HDS Host OVA op NFVIS

Voordat u begint

Voldoe aan de vereisten voor hybride gegevensbeveiliging en download de nieuwste HDS OVA. Hernoem het bestand met de indeling hds-.ova voor tracering; bijvoorbeeld hds-26-aug-2026.ova. <DD-MMM-YYYY>
Creëer de ISO voor de HDS-configuratie en sla deze veilig op. De ISO bevat de hoofdcoderingssleutel.
Verzamel het statische IP-adres, het subnetmasker, de gateway, de DNS-server, de NTP-server en de NFVIS-netwerknaam van het knooppunt.
Bevestig dat u NFVIS-beheerderstoegang hebt en dat u voldoende capaciteit hebt om ten minste 4 vCPU's, 8 GB geheugen en 30 GB opslag per HDS-node toe te wijzen.

1	Meld u aan bij de NFVIS-interface en ga naar Configuratie > Virtuele machine > Afbeeldingen > Image Repository.
2	Kies de optie LOCAL en upload uw hernoemde HDS OVA-bestand (bijvoorbeeld hds-26-aug-2026.ova).
3	Stel het VM-werklasttype in op Calling en het VM-type op ECP/VIDEO MESH en selecteer vervolgens Bestand uploaden.
4	Houd de voortgang van het uploaden in de gaten tot de upload voltooid is.
5	Bevestig dat de geüploade OVA als actief is gemarkeerd en dat NFVIS met succes het bijbehorende aangepaste OVA-profiel heeft aangemaakt.

De hybride VM voor gegevensbeveiliging instellen op NFVIS

1	Navigeer naar Configuratie > Implementeren en selecteer ECP/VIDEO MESH in het menu Selecteer VM.
2	Voer een unieke VM-naam in, selecteer de eerder geüploade HDS-image en kies het bijbehorende aangepaste OVA-profiel in de sectie Implementatiegegevens.
3	Selecteer DEPLOY en wacht op de melding dat de implementatie is geslaagd.
4	Navigeer naar Configuratie > Virtuele machine > Beheer om te controleren of de nieuwe HDS VM actief is.
5	Ga terug naar Configuratie > Implementeren, selecteer de HDS VM en gebruik de keuzelijst Netwerkinterfaces om deze aan het vereiste WAN-netwerk te koppelen.
6	Selecteer DEPLOY om de wijzigingen in de netwerkconfiguratie toe te passen.

Upload en koppel de HDS-configuratie-ISO

1	Zorg ervoor dat het ISO-bestand met de HDS-configuratie naar de beeldbank is geüpload via Configuration > Virtual Machine > Images > Image Repository voordat u verder gaat.
2	Open de terminal voor de HDS VM via Configuratie > Virtuele machine > Beheer en voer de eerste aanmelding uit met de standaardreferenties. `Gebruikersnaam: admin` `Wachtwoord: ciscosystems`
3	Wijzig de inloggegevens van de beheerder wanneer daarom wordt gevraagd.
4	Configureer de statische IP-adres-, subnetmasker-, gateway-, DNS- en NTP-instellingen van het knooppunt met behulp van de optie Configuratie bewerken.
5	Schakel de HDS VM uit om het montageproces te vergemakkelijken.
6	Open het VM-actiemenu, selecteer de CD-ROM en kies de HDS-configuratie-ISO om deze aan de VM te koppelen.
7	Zet de VM aan en controleer of deze succesvol start als de configuratie-ISO is geïnstalleerd.

Wat nu te doen

Ga zo nodig verder met Configure the Node for Proxy Integration en ga dan verder met Registreer het eerste knooppunt in het cluster.

HDS implementeren en configureren op Nutanix

Volg de onderstaande procedures om HDS te implementeren op een Nutanix-hypervisor. Het proces omvat de installatie van de HDS OVA, het instellen van de VM, het koppelen van de configuratie-ISO en het verifiëren van de implementatie.

Installeer de HDS Host OVA op Nutanix

Gebruik deze procedure om het HDS OVA-bestand in Nutanix te importeren.

1	Download de nieuwste HDS OVA.
2	Ga in Prism Central naar Infrastructuur > Compute > OVA's.
3	Selecteer OVA uploaden.
4	Kies de OVA-bron en selecteer het doelcluster.
5	Geef de geüploade OVA een unieke en herkenbare naam. Vermeld de versie of uploaddatum, zodat beheerders deze kunnen onderscheiden van oudere OVA-versies.
6	Voltooi de upload.
7	Controleer in de OVA-lijst of Disk Format wordt weergegeven als VMDK.

Creëer de hybride VM voor gegevensbeveiliging op Nutanix

Gebruik deze procedure om de virtuele HDS-machine te maken.

1	Ga in Prism Central naar Infrastructuur > Compute > OVA's.
2	Selecteer de succesvol geüploade HDS OVA.
3	Selecteer Implementeer als VM.
4	Voer een unieke, herkenbare VM-naam in en selecteer het doelcluster.
5	Controleer of de OVA de volgende VM-eigenschappen heeft ingevuld: 4 vCPU's 8 GB geheugen
6	Klik op Volgende. De wizard Hulpbronnen wordt geopend.
7	Controleer in de tabel Bronnen > Schijven of de aangesloten schijf een grootte heeft van 30 GB.
8	Koppel het juiste subnet of VLAN met behulp van de optie Attach to Subnet en stel de status van de netwerkverbinding in op Connected. Als de wizard een leeg of standaard netwerkitem bevat met de melding Geen netwerk gevonden voor het VM-netwerk, verwijder dat item dan. De ongeldige invoer kan voorkomen dat de wizard doorgaat, zelfs nadat het juiste subnet is aangesloten.
9	Selecteer UEFI als BIOS-modus en klik op Next. De beheerwizard wordt geopend.
10	Laat de categorieën leeg, tenzij de organisatie de categorieën vereist.
11	Selecteer de juiste tijdzone.
12	Selecteer Geen aanpassing op de gastaanpassingskaart en klik op Volgende.
13	Controleer de instellingen en selecteer Create VM.

Upload en koppel de HDS-configuratie-ISO

1	Ga in Prism Central naar Infrastructuur > Compute > VM's.
2	Selecteer de gebruikte HDS VM. Selecteer op het tabblad Samenvatting de optie Energiebeheer > Inschakelen. Wacht een paar minuten totdat de VM is opgestart.
3	Klik op Start Console. Voer de eerste aanmelding uit met de standaardreferenties. `Gebruikersnaam: admin` `Wachtwoord: ciscosystems`
4	Wijzig de inloggegevens van de beheerder wanneer daarom wordt gevraagd.
5	Configureer de statische IP-adres-, subnetmasker-, gateway-, DNS- en NTP-instellingen van het knooppunt met behulp van de optie Configuratie bewerken.
6	Schakel de HDS VM uit voordat u de ISO aansluit. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt.
7	Open het tabblad Schijven van de VM.
8	Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen.
9	Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA
10	Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM.
11	Selecteer op het tabblad Samenvatting van de VM de optie Energiebeheer > Inschakelen en zorg ervoor dat er gedurende minstens 15 minuten geen alarmen zijn.

Wat nu te doen

Ga zo nodig verder met Configure the Node for Proxy Integration en ga dan verder met Registreer het eerste knooppunt in het cluster.

Migreer HDS-knooppunten tussen ondersteunde hypervisors

Gebruik deze procedure om HDS-knooppunten te verplaatsen van de ene ondersteunde hypervisor naar de andere. Bestaande virtuele HDS-machines worden niet rechtstreeks tussen hypervisors gemigreerd. Implementeer in plaats daarvan vervangende knooppunten op de doelhypervisor en registreer ze bij het bestaande of nieuwe HDS-cluster.

Voordat u begint

Maak een back-up van de HDS-database en de huidige ISO-configuratie.
Bevestig dat de doelhypervisor en virtuele hosts voldoen aan de vereisten voor de implementatie van HDS.
Controleer of het bestaande HDS-cluster gezond is en dat de resterende knooppunten het verkeer kunnen blijven verwerken terwijl u een knooppunt vervangt.
Bepaal of elk vervangend knooppunt het IP-adres en de FQDN van het bronknooppunt zal hergebruiken of nieuwe netwerkinstellingen zal gebruiken.
Gebruik de huidige ISO-configuratie en de bestaande HDS-database voor de vervangende knooppunten.

Als de verhuizing ook het actieve datacenter, de databaseserver of de HDS-configuratie wijzigt, zie De knooppuntconfiguratie wijzigen en het standby-datacenter voor noodherstel wijzigen voordat u verder gaat.

1	Selecteer één HDS-knooppunt op de bronhypervisor om te vervangen. Laat alle andere knooppunten actief en geregistreerd blijven.
2	Bereid de netwerkconfiguratie voor het vervangende knooppunt voor: Als u het IP-adres en de FQDN van het bronknooppunt opnieuw gebruikt, schakel dan de bron-VM uit en deregistreer de node voordat u het vervangende knooppunt online brengt. Als u een nieuw IP-adres of FQDN gebruikt, laat dan het bronknooppunt actief en geregistreerd terwijl u het vervangende knooppunt implementeert en valideert. Gebruik de bron- en vervangingsknooppunten niet tegelijkertijd als ze dezelfde netwerkconfiguratie gebruiken.
3	Maak en configureer de vervangende VM op de doelhypervisor. Gebruik de nieuwste HDS OVA en volg de toepasselijke implementatieprocedures voor die hypervisor.
4	Configureer de netwerkinstellingen van de vervangende VM volgens de configuratie die is geselecteerd in stap 2. Volg de installatie-instructies voor de doelhypervisor.
5	Voeg de huidige ISO voor de HDS-configuratie toe. Als uw implementatie een proxy gebruikt, configureer dan de proxy en de trust store zoals beschreven in Configureer het HDS-knooppunt voor proxy-integratie.
6	Registreer het vervangende knooppunt bij het bestaande cluster of een nieuw cluster. Zie Meer knooppunten aanmaken en registreren.
7	Controleer of het vervangende knooppunt gezond is, verbonden is met de Webex-cloud en HDS-verkeer verwerkt. Los eventuele alarmen op voordat u verder gaat.
8	Als het bronknooppunt nog steeds actief is omdat voor de vervanging een nieuwe netwerkconfiguratie wordt gebruikt, schakel dan het bronknooppunt uit en deregistregistreren. Zie Een node verwijderen.
9	Herhaal deze stappen voor elk overblijvend knooppunt op de bronhypervisor. Vervang geen ander knooppunt totdat het cluster gezond is.
10	Als alle vervangende knooppunten stabiel zijn en terugdraaien niet langer nodig is, moet u de originele virtuele machines van de bronhypervisor verwijderen. Als u een originele virtuele machine tijdelijk bewaart, laat deze dan uitgeschakeld en ontkoppel de configuratie-ISO.

Wat nu te doen

Nadat u de vervangende knooppunten hebt geregistreerd, moet u bevestigen dat ze gezond zijn en dat de HDS-implementatie het verkeer verwerkt. Als de implementatie goed is, verwijder dan alle bronknooppunten die nog geregistreerd zijn op de oorspronkelijke hypervisor. Volg, indien van toepassing, de bovenstaande stappen om knooppunten te vervangen in de noodherstelinstallatie.

Voer de HDS Setup Tool uit met Podman Desktop

Podman is een gratis en open-source tool voor containerbeheer die een manier biedt om containers uit te voeren, te beheren en te creëren. Podman Desktop kan worden gedownload op https://podman-desktop.io/downloads.

De HDS Setup tool werkt als een Docker-container op een lokale computer. Om toegang te krijgen, moet u Podman op die computer downloaden en uitvoeren. Het installatieproces vereist de inloggegevens van een Control Hub-account met volledige beheerdersrechten voor uw organisatie.

Als de HDS Setup tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel bevat enkele mogelijke omgevingsvariabelen:

Beschrijving	Variabel
HTTP-proxy zonder authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://SERVER_IP:PORT`
HTTPS-proxy zonder authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORT`
HTTP-proxy met authenticatie	`GLOBAL_AGENT_HTTP_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met authenticatie	`GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de laatste kopie van dit bestand nodig wanneer u wijzigingen aanbrengt in de configuratie, zoals deze:
- Inloggegevens voor de database
- Updates van certificaten
- Wijzigingen in het autorisatiebeleid
Als u van plan bent om databaseverbindingen te versleutelen, stel dan uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Tijdens het installatieproces van Hybrid Data Security wordt een ISO-bestand gemaakt. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Wat nu te doen

Volg de overige stappen in Een configuratie-ISO aanmaken voor de HDS-hosts of de knooppuntconfiguratie wijzigen om een ISO-configuratie aan te maken of te wijzigen.

Cloud Agents uitschakelen

Cloud Agents (c-agent) zijn vertrouwde Webex-serviceaccounts die namens een gebruiker bewerkingen uitvoeren op HDS via gedelegeerde toegang om de algehele gebruikerservaring te verbeteren. Als u Cloud Agents uitschakelt, wordt de toegang van Webex-services tot lokale HDS-sleutels geblokkeerd.

Als u cloud agents uitschakelt, gaan functies verloren, zoals opnames na een vergadering, transcripties, bestandsvoorbeelden en automatische antimalwarescanning in Webex App Spaces.

Volg de onderstaande stappen om cloud agents uit te schakelen voor uw HDS-implementatie.

1	Start de HDS Setup tool en volg de stappen die worden vermeld in Create a Configuration ISO for the HDS Hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden uitgevoerd.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen.
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe om cloud agents uit te schakelen. Dit zorgt ervoor dat cloudagenten geen HDS-verkeer mogen verwerken. `cloudAgentUpdateEnabled: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een locatie op die gemakkelijk te vinden is.
5	Maak een reservekopie van het ISO-bestand op uw lokale systeem. Bewaar de reservekopie veilig. Dit bestand bevat een hoofdcoderingssleutel voor de inhoud van de database. Beperk de toegang tot alleen die Hybrid Data Security-beheerders die wijzigingen in de configuratie moeten aanbrengen.
6	Koppel het ISO-bestand voor de configuratie: Voordat u de nieuwe ISO-configuratie monteert: Schakel de HDS-node uit. Controleer of er momenteel geen ISO-bestand is bijgevoegd. Als er een ISO-bestand is bijgevoegd, moet u dat loskoppelen voordat u verder gaat. Voor VMware-implementaties: Selecteer in de VMware vSphere Client de virtuele HDS-machine. Klik met de rechtermuisknop op de virtuele machine en selecteer Instellingen bewerken. Selecteer een CD/DVD-station 1. Selecteer Datastore ISO File en selecteer vervolgens het nieuwe ISO-bestand voor de configuratie. Zorg ervoor dat Connected en Connect at power on zijn geselecteerd. Sla de wijzigingen op. Voor NFVIS-implementaties: Navigeer naar Configuratie > Virtuele machine > Images > Image Repository en upload het nieuwe ISO-configuratiebestand naar de NFVIS-beeldbank. Navigeer naar Configuratie > Virtuele machine > Beheer en selecteer de virtuele HDS-machine. Open CD-ROM-apparaten en controleer of er momenteel geen ISO-bestand is bijgevoegd. Selecteer Bijvoegen en selecteer vervolgens het zojuist geüploade ISO-configuratiebestand. Voltooi de bewerking en controleer of het nieuwe ISO-bestand voor de configuratie is bijgevoegd. Voor Nutanix-implementaties: Ga in Prism Central naar Infrastructuur > Compute > Images. Selecteer Afbeelding toevoegen. Selecteer onder Afbeeldingsbron de optie Afbeeldingsbestand en selecteer vervolgens Bestand toevoegen. Selecteer de nieuwe ISO-configuratie en controleer of Type is ingesteld op ISO. Voltooi de locatieselectie voor het doelcluster en voltooi de upload. Ga naar Infrastructuur > Compute > VM's en selecteer de toepasselijke HDS VM. Selecteer op het tabblad Samenvatting van de VM de optie Power Operations > Power Off en wacht tot de VM volledig is gestopt. Open het tabblad Schijven van de VM. Als er een oude configuratie-ISO is bijgevoegd, selecteer dan alleen het item op de cd-rom en klik op Verwijderen. Als op het tabblad Schijven het veld Bron leeg is voor items op een virtuele schijf, selecteer dan de overeenkomstige selectievakjes en klik op Verwijderen. Selecteer Attach Disk en configureer de volgende waarden: Soort: CD-ROM Operatie: Kloon uit afbeelding Schijfplaatsing: Zelfde cluster Afbeelding: Zojuist geüploade ISO-configuratie Bustype: SATA Sla de configuratie op en controleer of de nieuwe ISO wordt weergegeven als de bijgevoegde cd-rom van de VM.
7	Zet de HDS-node aan en zorg ervoor dat er gedurende minstens 15 minuten geen alarmen zijn.
8	Herhaal dit proces voor elk knooppunt in uw HDS-implementatie. Controleer of Cloud Agents zijn uitgeschakeld door in de syslogs te zoeken naar de volgende vermelding: 'Cloud Agent update uitgeschakeld'.

Verplaats de bestaande HDS-implementatie met één tenant van een partnerorganisatie in Control Hub naar een HDS-opstelling met meerdere huurders in Partner Hub

De conversie van een bestaande HDS-implementatie met één tenant van een partnerorganisatie die wordt beheerd in Control Hub naar een HDS-implementatie met meerdere huurders die wordt beheerd in Partner Hub omvat voornamelijk het deactiveren van de HDS-service in Control Hub, het de-registreren van knooppunten en het verwijderen van het cluster. U kunt zich dan aanmelden bij Partner Hub, de nodes registreren, Multi-Tenant HDS activeren en klanten aan uw cluster toevoegen.

De term „single-tenant” verwijst gewoon naar een bestaande HDS-implementatie in Control Hub.

HDS deactiveren, nodes deregistreren en alle clusters verwijderen in Control Hub

1	Meld u aan bij Control Hub. Klik in het linkervenster op Hybrid. Klik op de Hybrid Data Security-kaart op Instellingen bewerken.
2	Blader op de instellingenpagina omlaag naar de sectie Deactiveren en klik op Deactiveren.
3	Klik na de deactivering op het tabblad Bronnen.
4	Op de pagina Hulpbronnen worden clusters in uw HDS-implementatie opgesomd. Klik op een cluster en er wordt een pagina geopend met alle knooppunten onder dat cluster.
5	Klik aan de rechterkant en klik op Knooppunt deregistreren. Herhaal dit proces voor alle knooppunten in het cluster.
6	Als uw implementatie meerdere clusters heeft, herhaal dan stap 4 en stap 5 totdat alle knooppunten zijn afgemeld.
7	Klik op Clusterinstellingen > Verwijderen.
8	Klik op Verwijderen bevestigen om de cluster te deregistreren.
9	Herhaal dit proces voor alle clusters in uw HDS-implementatie. Na de deactivering van de HDS, de deregistratie van knooppunten en het verwijderen van clusters wordt de installatie niet voltooid op de Hybrid Data Service-kaart op de Control Hub onderaan weergegeven.

Activeer Multi-Tenant HDS voor de partnerorganisatie op Partner Hub en voeg klanten toe

Voordat u begint

Alle vereisten die zijn vermeld in de vereisten voor hybride gegevensbeveiliging voor meerdere huurders zijn hier van toepassing. Zorg er bovendien voor dat dezelfde database en certificaten worden gebruikt tijdens de overstap naar Multi-Tenant HDS.

1	Meld u aan bij Partner Hub. Klik op Services in het linkervenster. Gebruik dezelfde ISO van uw vorige HDS-implementatie om de knooppunten te configureren. Dit zorgt ervoor dat berichten en inhoud die door de gebruikers in de vorige bestaande HDS-implementatie zijn gegenereerd, nog steeds toegankelijk zijn in de nieuwe Multi-Tenant-configuratie.
2	Zoek in het gedeelte Hybrid naar de Hybrid Data Security-kaart en klik op Instellen.
3	Klik op de pagina die wordt geopend op Een bron toevoegen.
4	Voer in het eerste veld van Create a clusterkaart een naam in voor het cluster waaraan u uw Hybrid Data Security-knooppunt wilt toewijzen. We raden u aan een cluster een naam te geven op basis van waar de knooppunten van het cluster zich geografisch bevinden. Voorbeelden: „San Francisco”, „New York” of „Dallas”
5	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen aan de onderkant van het scherm. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein dat u hebt gebruikt bij de installatie van de Hybrid Data Security VM. Er verschijnt een bericht dat u uw node kunt registreren bij de Webex.
6	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor knooppunten voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina Toegang tot Hybrid Data Security Node toestaan. Daar bevestigt u dat u uw Webex-organisatie toestemming wilt geven voor toegang tot uw node.
7	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht „Registratie voltooid” geeft aan dat uw node nu is geregistreerd in de Webex-cloud. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd, weergegeven op het tabblad Bronnen. Het knooppunt downloadt automatisch de nieuwste software uit de cloud.
8	Ga naar het tabblad Instellingen en klik op Activeren op de HDS-statuskaart. Het geactiveerde HDS-bericht verschijnt aan de onderkant van het scherm.
9	Klik op het tabblad Toegewezen klanten.
10	Klik op Klanten toevoegen.
11	Selecteer de klant die u wilt toevoegen in het keuzemenu.
12	Klik op Toevoegen, de klant wordt aan het cluster toegevoegd.
13	Herhaal de stappen 11 tot en met 13 om meerdere klanten aan uw cluster toe te voegen.
14	Klik op Gereed aan de onderkant van het scherm als u de klanten hebt toegevoegd.

Wat nu te doen

Voer de HDS Setup tool uit zoals beschreven in Create Customer Main Keys (CMK's) met behulp van de HDS Setup tool om het installatieproces te voltooien.

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een hulpmiddel dat kan worden gebruikt om het PKCS12-bestand in het juiste formaat te maken voor het laden in de HDS Setup Tool. Er zijn andere manieren om dit te doen, en we steunen of promoten niet op de een of andere manier.
Als u ervoor kiest om OpenSSL te gebruiken, bieden wij deze procedure als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in de X.509-certificaatvereisten. Begrijp deze vereisten voordat u verder gaat.
OpenSSL installeren in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel aan.
Start deze procedure wanneer u het servercertificaat van uw Certificate Authority (CA) ontvangt.

1	Wanneer u het servercertificaat van uw CA ontvangt, sla het dan op als `hdsnode.pem`.
2	Geef het certificaat weer als tekst en controleer de gegevens. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een teksteditor om een certificaatbundelbestand te maken met de naam `hdsnode-bundle.pem`. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de basiscertificaten van CA bevatten, in het onderstaande formaat: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	`Maak het .p12-bestand met de vriendelijke naam kms-private-key.` `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key out hdsnode.p12`
5	Controleer de gegevens van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te versleutelen, zodat deze in de uitvoer wordt weergegeven. Controleer vervolgens of de privésleutel en het eerste certificaat de regels `FriendlyName:` kms-private-key bevatten. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Wat nu te doen

Ga terug naar Voltooi de vereisten voor hybride gegevensbeveiliging. U gebruikt het bestand hdsnode.p12 en het wachtwoord dat u daarvoor hebt ingesteld in Create a Configuration ISO for the HDS Hosts.

U kunt deze bestanden opnieuw gebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-knooppunten en de cloud

Verkeer voor de verzameling van uitgaande statistieken

De hybride gegevensbeveiligingsknooppunten sturen bepaalde statistieken naar de Webex-cloud. Deze omvatten systeemstatistieken voor heap max, gebruikte heap, CPU-belasting en aantal threads; statistieken over synchrone en asynchrone threads; statistieken over waarschuwingen met een drempelwaarde voor coderingsverbindingen, latentie of lengte van een aanvraagwachtrij; statistieken over de datastore; en statistieken over versleutelingsverbindingen. De knooppunten verzenden versleuteld sleutelmateriaal via een kanaal dat buiten de band ligt (gescheiden van het verzoek).

Inkomend verkeer

De Hybrid Data Security-knooppunten ontvangen de volgende soorten inkomend verkeer van de Webex-cloud:

Encryptieverzoeken van klanten, die worden doorgestuurd door de coderingsdienst
Upgrades naar de node-software

Squid-proxy's configureren voor hybride gegevensbeveiliging

Websocket kan geen verbinding maken via Squid Proxy

Squid-proxy's die HTTPS-verkeer inspecteren, kunnen interfereren met het tot stand brengen van websocketverbindingen (wss:) waarvoor Hybrid Data Security vereist is. In deze gedeelten wordt uitgelegd hoe u verschillende versies van Squid kunt configureren om wss: verkeer te negeren voor een goede werking van de services.

Inktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn toe aan squid.conf:

on_unsupported_protocol tunnel all

Inktvis 3.5.27

We hebben de hybride gegevensbeveiliging met succes getest, waarbij de volgende regels zijn toegevoegd aan squid.conf. Deze regels kunnen worden gewijzigd naarmate we functies ontwikkelen en de Webex-cloud updaten.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Hybride gegevensbeveiliging voor meerdere huurders deactiveren

Taakstroom voor het deactiveren van HDS voor meerdere huurders

Volg deze stappen om Multi-Tenant HDS volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige beheerder van een partner.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	De CMK's van alle klanten intrekken, zoals vermeld in CMK's intrekken van huurders die uit HDS zijn verwijderd. .
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit de Partner Hub op een van de volgende twee manieren. Klik op het cluster dat u wilt verwijderen en selecteer Verwijder dit cluster in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Hulpbronnen op aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina van Hybrid Data Security en klik op HDS Deactiveren op de HDS-statuskaart.

Veelgestelde vragen

Q. Worden de CMK's en de hoofdsleutel opgeslagen in de ISO of de database?

A. De hoofdsleutels van klanten (CMK's) worden opgeslagen in de database en worden versleuteld met de hoofdsleutel, die is opgeslagen in de ISO.

V. Wordt er één sleutel gebruikt om alle gegevens van klantorganisaties te versleutelen?

A. Nee. De gegevens van elke klantenorganisatie worden versleuteld met een eigen CMK (Customer Main Key).

Q. Wat gebeurt er als ik HDS uitschakel via de Partner Hub?

A. Sommige activiteiten, zoals het creëren van een ruimte en het plannen van vergaderingen, zullen onmiddellijk worden beïnvloed. Bestaande inhoud in ruimten blijft toegankelijk totdat de lokale cache is verlopen. Na 24 uur schakelen gebruikers die door de partner worden beheerd over op Cloud KMS, en er kunnen zich problemen voordoen met eerder gemaakte ruimten en één-op-één-ruimten.

Q. Zodra de CMK voor een klantenorganisatie is gegenereerd via de HDS Setup-tool, beginnen gebruikers van de klantenorganisatie dan onmiddellijk gebruik te maken van Multi-Tenant HDS?

A. Er kan een maximale vertraging van 24 uur zijn voordat de cloudcache wordt vernieuwd.

V. Waarom zie ik geen lijst met klanten als ik in de Partner Hub op de knop „Klanten toevoegen” klik?

A. Dit betekent meestal dat er geen klantenorganisaties zijn die voldoen aan de Cisco Webexlicentievereisten.

Q. Wat is het effect als alle HDS-knooppunten worden uitgeschakeld of als een netwerkprobleem gevolgen heeft voor alle HDS-knooppunten?

A. Activiteiten zoals het creëren van ruimtes en het plannen van vergaderingen worden onmiddellijk beïnvloed. Bestaande inhoud is alleen toegankelijk totdat de lokale cache is verlopen.

Q. Zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel die is gegenereerd tijdens het aanmaken van de ISO?

A. Ja. Momenteel worden de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel. In de toekomst zullen partnerorganisaties partnerspecifieke sleutels hebben, vergelijkbaar met CMK's van klanten.

Q. Kunnen de partnerorganisatie en de huurdersorganisaties zich in verschillende regio's bevinden (bijvoorbeeld de VS en de EU)?

A. Ja. Partner- en huurdersorganisaties kunnen zich in verschillende geografische regio's bevinden.

Q. Is er een mechanisme om sleutels terug te verplaatsen naar Cloud KMS?

A. Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Q. Kan een partner Cloud KMS blijven gebruiken en Multi-Tenant HDS uitsluitend gebruiken om klanten te beheren?

A. Nee, dit wordt momenteel niet ondersteund. Ondersteuning voor deze functionaliteit is gepland voor de toekomst.

Q. Hoe kan een partner verifiëren dat zijn organisatie Multi-Tenant HDS gebruikt voor versleuteling?

A. Meld u aan bij de Partner Hub. Ga naar Services > Hybrid Data Security > Instellingen. Als de HDS-status is geactiveerd, gebruiken zowel gebruikers van de partnerorganisatie als toegewezen klanten Multi-Tenant HDS.

Als alternatief kunt u uw syslogs controleren om te controleren of HDS is geactiveerd. Zie Test uw implementatie van hybride gegevensbeveiliging.

Q. Is er een alternatief voor Docker Desktop om de HDS Setup tool uit te voeren?

A. Ja. Pod man Desktop is een open-source alternatief voor Docker Desktop. Zie De HDS Setup Tool uitvoeren met Podman Desktop.

Q. Hoeveel nodes kan ik implementeren in een Multi-Tenant HDS-cluster?

A. We raden minimaal twee en maximaal 1000 nodes aan.

Q. Wat zijn de netwerkvereisten die nodig zijn om Multi-Tenant HDS op te zetten?

A. Zie Vereisten voor externe connectiviteit.

Q. Is Pro Pack for Control Hub een vereiste voor partnerorganisaties?

A. Nee. Pro Pack is geen vereiste voor partnerorganisaties. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij het opzetten van Multi-Tenant HDS.

Q. Wordt HSM ondersteund in Multi-Tenant HDS?

A. Nee, op dit moment ondersteunt Multi-Tenant HDS HSM niet.

Q. Kan ik Multi-Tenant HDS testen met een zelfondertekend certificaat?

A. Nee. Multi-tenant HDS vereist een certificaat dat is opgehaald bij een vertrouwde CA dat voldoet aan alle vereisten die zijn vermeld in de X.509-certificaatvereisten.

Q. Is het nodig om de ISO te installeren telkens wanneer er een nieuwe klant wordt toegevoegd in de Partner Hub?

A. Nee. De ISO hoeft alleen te worden aangekoppeld bij het wijzigen van de ISO-configuraties. Als u een nieuwe klant toevoegt op Partner Hub, zorg er dan voor dat u CMK's kunt aanmaken met behulp van de HDS Setup Tool. Zie Hoofdsleutels voor klanten (CMK's) aanmaken met behulp van de HDS Setup tool.

Q. Beginnen gebruikers van de partnerorganisatie na de implementatie van Multi-Tenant HDS op de Partner Hub gebruik te maken van KMS op locatie voor sleutelbeheer?

A. Gebruikers zullen KMS op locatie pas gaan gebruiken voor sleutelbeheer nadat HDS is geactiveerd in Partner Hub.

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en belangrijke fouten die zijn opgelost in de Implementatiehandleiding voor hybride databeveiliging met meerdere tenants.

Datum	Wijzigingen aangebracht
13 december 2024	Eerste release.

Hybride databeveiliging met meerdere tenants deactiveren

Taakstroom voor deactivering van HDS met meerdere tenants

Volg deze stappen om HDS met meerdere tenants volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige partnerbeheerder.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	Trek de CMK's van alle klanten in, zoals vermeld in CMK's van tenants die zijn verwijderd uit HDS intrekken..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partnerhub met een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op ... aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybride databeveiliging en klik op HDS deactiveren op de HDS-statuskaart.

Aan de slag met hybride databeveiliging voor meerdere tenants

Overzicht van hybride databeveiliging met meerdere tenants

Vanaf dag één is gegevensbeveiliging de primaire focus geweest bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end-inhoudscodering, ingeschakeld door clients van de Webex-app die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle klanten van de Webex-app end-to-end-codering met dynamische sleutels die zijn opgeslagen in de cloud-KMS, in de beveiligingsruimte van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Met Hybride databeveiliging voor meerdere tenants kunnen organisaties HDS gebruiken via een vertrouwde lokale partner, die kan optreden als serviceprovider en codering en andere beveiligingsservices op locatie kan beheren. Met deze instelling kan de partnerorganisatie volledige controle hebben over de implementatie en het beheer van coderingssleutels en zorgen ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties stellen HDS-instanties in en maken indien nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties de implementatie en het beheer onder controle hebben, hebben ze geen toegang tot gegevens en inhoud die door klanten zijn gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook HDS gebruiken, omdat sleutelbeheerservice en beveiligingsinfrastructuur zoals datacenters eigendom zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging met meerdere tenants gegevenssoevereiniteit en gegevenscontrole biedt

Door gebruikers gegenereerde inhoud wordt beschermd tegen externe toegang, zoals cloudserviceproviders.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een bestaande relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het instellen en beheren van klanten onder een systeem voor hybride databeveiliging met meerdere tenants.

Rollen in hybride databeveiliging met meerdere tenants

Volledige partnerbeheerder : kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder : kan instellingen beheren voor klanten die door de beheerder zijn ingericht of die aan de gebruiker zijn toegewezen.
Volledige beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end installatie en beheer van alle klantorganisaties met meerdere tenants : volledige partnerbeheerder en volledige beheerdersrechten vereist.
Beheer van toegewezen tenantorganisaties : partnerbeheerders en volledige beheerdersrechten vereist.

Architectuur beveiligingsrealm

De Webex-cloudarchitectuur scheidt verschillende typen services in verschillende realms of vertrouwensdomeinen, zoals hieronder afgebeeld.

***Gescheiden ruimten (zonder hybride databeveiliging)***

Laten we voor meer informatie over hybride databeveiliging eerst naar deze pure cloudcase kijken, waarbij Cisco alle functies in zijn clouddomeinen biedt. De identiteitsservice, de enige plaats waar gebruikers rechtstreeks gecorreleerd kunnen worden met hun persoonlijke informatie, zoals hun e-mailadres, staat logischerwijs en fysiek los van de beveiligingsruimte in datacenter B. Beide staan op hun beurt los van de ruimte waar gecodeerde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker wordt uitgevoerd en is de identiteitsservice geverifieerd. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, worden de volgende stappen uitgevoerd:

De client brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens een sleutel aan om het bericht te coderen. De beveiligde verbinding gebruikt ECDH en de KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt gecodeerd voordat het de client verlaat. De client verzendt deze naar de indexeringsservice, die gecodeerde zoekindexen maakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsservice verzonden voor nalevingscontroles.
Het gecodeerde bericht wordt opgeslagen in de opslagrealm.

Wanneer u hybride databeveiliging implementeert, verplaatst u de functies van de beveiligingsregio (KMS, indexering en naleving) naar uw datacenter op locatie. De andere cloudservices waaruit Webex bestaat (inclusief identiteits- en inhoudsopslag) blijven in de rijken van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen regelmatig de Webex-app gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze is gemaakt door een van uw gebruikers), verzendt uw KMS de sleutel naar de client via een beveiligd ECDH-kanaal. Wanneer een andere organisatie echter eigenaar is van de sleutel voor de ruimte, leidt uw KMS het verzoek naar de Webex-cloud via een afzonderlijk ECDH-kanaal om de sleutel van de juiste KMS op te halen. Vervolgens stuurt u de sleutel terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die op Organisatie A wordt uitgevoerd, valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat dat u wilt gebruiken met uw implementatie van hybride databeveiliging met meerdere tenants.

Verwachtingen voor het implementeren van hybride databeveiliging

Een implementatie van Hybride databeveiliging vereist aanzienlijke inzet en een besef van de risico's die verbonden zijn aan het bezitten van coderingssleutels.

Voor het implementeren van hybride databeveiliging moet u het volgende opgeven:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang die worden beschreven in Uw omgeving voorbereiden.

Volledig verlies van de configuratie-ISO die u voor hybride databeveiliging maakt of de database die u opgeeft, leidt tot het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere gecodeerde gegevens decoderen in de Webex-app. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar is alleen nieuwe inhoud zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een storing van de databaseselectie of een ramp in een datacenter.

Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Installatieproces op hoog niveau

In dit document worden de installatie en het beheer van een implementatie van hybride databeveiliging met meerdere tenants behandeld:

Hybride databeveiliging instellen: dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van hybride databeveiligingssoftware, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan de cluster en het beheren van hun Customer Main Keys (CMK's). Hiermee kunnen alle gebruikers van uw klantorganisaties uw cluster voor hybride databeveiliging gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Uw implementatie van hybride databeveiliging onderhouden: de Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan ondersteuning van niveau één bieden voor deze implementatie en indien nodig contact opnemen met Cisco-ondersteuning. U kunt meldingen op het scherm gebruiken en waarschuwingen op basis van e-mail instellen in Partner Hub.
Algemene waarschuwingen, stappen voor het oplossen van problemen en bekende problemen begrijpen: als u problemen ondervindt met het implementeren of gebruiken van hybride databeveiliging, kan het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen bij het bepalen en oplossen van het probleem.

Implementatiemodel voor hybride databeveiliging

In uw bedrijfsdatacenter implementeert u hybride databeveiliging als een enkele cluster knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces voorzien we u van het OVA-bestand om het virtuele apparaat in te stellen op de door u geleverde VM's. U gebruikt de HDS-setuptool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het cluster voor hybride databeveiliging gebruikt uw opgegeven Syslogd-server en PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS-setuptool.)

Implementatiemodel voor hybride databeveiliging

Het minimum aantal knooppunten dat u in een cluster kunt hebben, is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere knooppunten zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een knooppunt. (De Webex-cloud werkt slechts één knooppunt tegelijk bij.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke gegevensopslag en logboekactiviteit tot dezelfde syslog-server. De knooppunten zelf zijn staatloos en handelen sleutelverzoeken af op ronde-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in Partner Hub. Als u een afzonderlijk knooppunt uit dienst wilt nemen, kunt u de registratie ongedaan maken en later indien nodig opnieuw registreren.

Stand-by-datacenter voor noodherstel

Tijdens de implementatie stelt u een beveiligd stand-by datacenter in. In het geval van een datacenterramp kunt u de implementatie handmatig naar het stand-bydatacenter mislukken.

Vóór de failover heeft Datacenter A actieve HDS-knooppunten en de primaire PostgreSQL- of Microsoft SQL-serverdatabase, terwijl B een kopie heeft van het ISO-bestand met aanvullende configuraties, VM's die bij de organisatie zijn geregistreerd en een stand-bydatabase. Na failover heeft datacenter B actieve HDS-knooppunten en de primaire database, terwijl A niet-geregistreerde VM's en een kopie van het ISO-bestand heeft en de database in de stand-bymodus staat. — ***Handmatig failover naar stand-bydatacenter***

De databases van de actieve en stand-bydatacenters zijn gesynchroniseerd met elkaar, waardoor de tijd die nodig is om de failover uit te voeren, wordt geminimaliseerd.

De actieve knooppunten voor hybride databeveiliging moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy: de standaard als u het HDS-knooppunt niet gebruikt, stelt u de vertrouwensarchief- en proxyconfiguratie in om een proxy te integreren. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres en hoeven geen wijzigingen te vereisen om te werken met een proxy zonder inspectie. Er is geen certificaat update vereist.
Transparent tunneling of inspecting proxy: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy: met expliciete proxy geeft u de HDS-knooppunten aan welke proxyserver en verificatieschema moeten worden gebruikt. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken.
2. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer.
3. Proxyprotocol: afhankelijk van wat uw proxyserver ondersteunt, kiest u tussen de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Verificatietype: kies uit de volgende verificatietypen:
  - Geen: geen verdere verificatie is vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride databeveiliging met meerdere tenants

Cisco Webex-licentievereisten

Hybride databeveiliging met meerdere tenants implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de functie voor meerdere tenants is ingeschakeld.
Tenantorganisaties: U moet het Pro-pakket voor Cisco Webex Control Hub hebben. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-knooppunten installeert, moet u Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

X.509-certificaatvereisten

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor implementatie van hybride databeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA)	Standaard vertrouwen we de CA's in de lijst met Mozilla (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een CN-domeinnaam (Common Name) die uw implementatie voor hybride databeveiliging identificeert Is geen wildcardcertificaat	De algemene naam hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die overeenkomt met uw organisatie, bijvoorbeeld `hds.bedrijf.com`. De algemene naam mag geen * (jokerteken) bevatten. De algemene naam wordt gebruikt om de knooppunten voor hybride databeveiliging te verifiëren naar Webex-app-clients. Alle knooppunten voor hybride databeveiliging in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met het CN-domein, niet elk domein dat is gedefinieerd in de x.509v3 SAN-velden. Wanneer u een knooppunt met dit certificaat hebt geregistreerd, bieden we geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS #12-bestand Gebruik de beschrijvende naam `kms-private-key` om het certificaat, de privésleutel en eventuele aanvullende certificaten te taggen om te uploaden.	U kunt een conversieprogramma zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS-setuptool uitvoert.

De KMS-software dwingt geen beperkingen op het sleutelgebruik of het uitgebreide sleutelgebruik af. Sommige certificeringsinstanties vereisen dat uitgebreide gebruiksbeperkingen voor elk certificaat worden toegepast, zoals serververificatie. Het is oké om de serververificatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als knooppunten voor hybride databeveiliging in uw cluster instelt, hebben de volgende vereisten:

Ten minste twee afzonderlijke hosts (3 aanbevolen) die zich samen in hetzelfde beveiligde datacenter bevinden
VMware ESXi 6.5 (of hoger) is geïnstalleerd en wordt uitgevoerd.

Als u een eerdere versie van ESXi hebt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale harde schijfruimte per server

Vereisten voor databaseserver

Maak een nieuwe database voor sleutelopslag. Gebruik de standaarddatabase niet. De HDS-toepassingen maken na installatie het databaseschema.

Er zijn twee opties voor databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor databaseserver per type database
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 of 16, geïnstalleerd en actief.	SQL Server 2016, 2017 of 2019 (Enterprise of Standaard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en cumulatieve update 2 of hoger.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL-server

Postgres JDBC driver 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover-clusterinstanties en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-verificatie met Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-verificatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, de Active Directory-infrastructuur en MS SQL Server moeten allemaal worden gesynchroniseerd met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees- en schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het exemplaar van de HDS-database op uw Microsoft SQL-server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een hoofdnaam voor de service registreren voor Kerberos-verbindingen.

De HDS-setuptool, HDS-launcher en lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de details uit uw ISO-configuratie om de SPN te maken wanneer ze toegang aanvragen met Kerberos-verificatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit voor de HDS-toepassingen toe te staan:

Toepassing	Protocol	Poort	Richting vanuit app	Bestemming
Knooppunten voor hybride databeveiliging	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die voor hybride databeveiliging worden vermeld in de tabel Aanvullende URL's voor hybride Webex-services met Netwerkvereisten voor Webex-services
HDS-setuptool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De knooppunten voor hybride databeveiliging werken met NAT (Network Access Translation) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen met de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die inkomend naar de knooppunten voor hybride databeveiliging gaan, mogen er geen poorten zichtbaar zijn vanaf internet. In uw datacenter hebben clients toegang nodig tot de knooppunten voor hybride databeveiliging op TCP-poorten 443 en 22 voor administratieve doeleinden.

De URL's voor de Common Identity-hosts (CI) zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	URL's van host van algemene identiteit
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren. Zie Squid-proxy's configureren voor hybride databeveiliging om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, kunt u het probleem oplossen door het verkeer niet te controleren op wbx2.com en ciscospark.com .

Voldoen aan de vereisten voor hybride databeveiliging

Gebruik deze controlelijst om ervoor te zorgen dat u klaar bent om uw cluster voor hybride databeveiliging te installeren en te configureren.

1	Zorg ervoor dat uw partnerorganisatie de functie Multi-tenant HDS heeft ingeschakeld en haal de referenties op van een account met volledige partnerbeheerder en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor het Pro-pakket voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u instelt als knooppunten voor hybride databeveiliging in uw cluster. U hebt minimaal twee afzonderlijke hosts (3 aanbevolen) nodig die samen in hetzelfde beveiligde datacenter staan en die voldoen aan de vereisten in Vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die fungeert als de belangrijkste gegevensopslag voor het cluster, volgens de Vereisten van de databaseserver. De databaseserver moet in het beveiligde datacenter samen met de virtuele hosts worden geplaatst. Maak een database voor sleutelopslag. (U moet deze database maken. Gebruik niet de standaarddatabase. De HDS-toepassingen maken na installatie het databaseschema.) Verzamel de details die de knooppunten gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor snel noodherstel stelt u een back-upomgeving in een ander datacenter in. De back-upomgeving weerspiegelt de productieomgeving van VM's en een back-updatabaseserver. Als de productie bijvoorbeeld 3 VM's heeft waarop HDS-knooppunten worden uitgevoerd, moet de back-upomgeving 3 VM's hebben.
6	Stel een syslog-host in om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Maak een beveiligd back-upbeleid voor de knooppunten voor hybride databeveiliging, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de knooppunten voor hybride databeveiliging. Omdat de knooppunten voor hybride databeveiliging de sleutels opslaan die voor het coderen en decoderen van inhoud worden gebruikt, zal het niet onderhouden van een operationele implementatie leiden tot ONHERSTELBAAR VERLIES van die inhoud. Webex-app-clients slaan hun sleutels in het cachegeheugen, dus een storing is mogelijk niet direct merkbaar, maar wordt na verloop van tijd duidelijk. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Een volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-configuratiebestand zal echter resulteren in onherstelbare klantgegevens. Van de operatoren van de knooppunten voor hybride databeveiliging wordt verwacht dat ze frequente back-ups van de database en het ISO-configuratiebestand bijhouden en dat ze voorbereid zijn om het datacenter voor hybride databeveiliging opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit voor uw knooppunten voor hybride databeveiliging mogelijk maakt, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bits, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, waarmee de lokale configuratiegegevens voor alle knooppunten voor hybride databeveiliging worden opgebouwd. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Vereisten voor Docker-desktops voor meer informatie. Als u de HDS-setuptool wilt installeren en uitvoeren, moet de lokale machine de verbinding hebben die wordt beschreven in Vereisten voor externe connectiviteit.
10	Als u een proxy integreert met hybride databeveiliging, moet u controleren of deze voldoet aan de vereisten voor de proxyserver.

Een cluster voor hybride databeveiliging instellen

Taakstroom implementatie hybride databeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download installatiebestanden Download het OVA-bestand naar uw lokale machine voor later gebruik.
2	Een configuratie-ISO voor de HDS-hosts maken Gebruik de HDS-setuptool om een ISO-configuratiebestand te maken voor de knooppunten voor hybride databeveiliging.
3	De HDS-host-OVA installeren Maak een virtuele machine met het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 6.5. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	VM voor hybride databeveiliging instellen Meld u aan bij de VM-console en stel de aanmeldgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.
5	De HDS-configuratie-ISO uploaden en koppelen Configureer de VM vanuit het ISO-configuratiebestand dat u hebt gemaakt met de HDS-setuptool.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geeft u het type proxy op dat u voor het knooppunt wilt gebruiken en voegt u het proxycertificaat indien nodig toe aan de vertrouwensopslag.
7	Het eerste knooppunt in het cluster registreren Registreer de VM bij de Cisco Webex-cloud als knooppunt voor hybride databeveiliging.
8	Meer knooppunten maken en registreren Voltooi de clustersetup.
9	Activeer HDS met meerdere tenants in Partner Hub. Activeer HDS en beheer tenantorganisaties in Partner Hub.

Voer de eerste installatie uit en download installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u instelt als knooppunten voor hybride databeveiliging). U kunt dit bestand later in het installatieproces gebruiken.

1	Meld u aan bij Partnerhub en klik vervolgens op Services.
2	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik vervolgens op Instellen.
3	Klik op Een resource toevoegen en klik op OVA-bestand downloaden op de kaart Software installeren en configureren . Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades voor hybride databeveiliging. Dit kan leiden tot problemen tijdens het upgraden van de toepassing. Zorg ervoor dat u de meest recente versie van het OVA-bestand downloadt. U kunt de OVA ook op elk moment downloaden via het gedeelte Help . Klik op Instellingen > Help > Software voor hybride databeveiliging downloaden. Het downloaden van het OVA-bestand wordt automatisch gestart. Sla het bestand op een locatie op uw computer op.
4	U kunt ook op Implementatiegids voor hybride databeveiliging bekijken klikken om te controleren of er een nieuwere versie van deze handleiding beschikbaar is.

Een configuratie-ISO voor de HDS-hosts maken

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige beheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT

HTTPS-proxy zonder verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT

HTTP-proxy met verificatie

GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT

HTTPS-proxy met verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stabiel

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stabiel

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost, http://127.0.0.1:8080, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in.

Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.

7

Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.

8

Klik op de overzichtspagina van de setuptool op Aan de slag.

9

Op de pagina ISO-import hebt u de volgende opties:

Nee: als u uw eerste HDS-knooppunt maakt, hebt u geen ISO-bestand om te uploaden.
Ja: als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de blader en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als u nog nooit eerder een certificaat hebt geüpload, uploadt u het X.509-certificaat, voert u het wachtwoord in en klikt u op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat is verlopen of u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account in voor HDS om toegang te krijgen tot uw belangrijke gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u Microsoft SQL Server kiest, wordt het veld Verificatietype weergegeven.
(Alleen Microsoft SQL-server ) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam .
- Windows-verificatie: U hebt een Windows-account nodig met de indeling gebruikersnaam@DOMEIN in het veld Gebruikersnaam .
Voer het adres van de databaseserver in de vorm : of : in.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

U kunt een IP-adres gebruiken voor basisverificatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de Databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
Voorkeur geven aan TLS (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS op de databaseserver inschakelt, proberen de knooppunten een gecodeerde verbinding.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databashost en poort . De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het hoofdcertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS-setuptool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege verbindingsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de machine van de HDS-setuptool deze niet kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet door het DNS kan worden omgezet vanaf de knooppunten voor uw HDS-cluster, gebruikt u een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 geeft aan dat u zich aanmeldt bij de Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat deze TLS-codering gebruikt, schakelt u het selectievakje Is uw syslog-server geconfigureerd voor SSL-codering? in.

Als u dit selectievakje inschakelt, moet u een TCP-URL zoals tcp://10.92.43.23:514 invoeren.
Kies in de vervolgkeuzelijst Syslog-record beëindigen kiezen de juiste instelling voor uw ISO-bestand: Kiezen of nieuwe lijn wordt gebruikt voor Graylog en Rsyslog TCP
- Null byte -- \x00
- Regeleinde -- \n: selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige parameters voor databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxGrootte: 10

15

Klik op Doorgaan in het scherm Wachtwoord voor serviceaccounts herstellen .

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen of u ze wilt herstellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een eenvoudig te vinden locatie op.

17

Maak een back-up van het ISO-bestand op uw lokale systeem.

Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.

18

Als u de setuptool wilt afsluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het ISO-configuratiebestand. U hebt deze nodig om meer knooppunten te maken voor herstel of om configuratiewijzigingen aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels te herstellen van uw PostgreSQL- of Microsoft SQL Server-database.

We hebben nooit een kopie van deze sleutel en kunnen niet helpen als u deze verliest.

De HDS-host-OVA installeren

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Een naam en map selecteren voert u een naam van de virtuele machine in voor het knooppunt (bijvoorbeeld 'HDS_Node_1'), kiest u een locatie waar de implementatie van het knooppunt van de virtuele machine zich kan bevinden en klikt u op Volgende.
5	Kies op de pagina Een rekenresource selecteren de bestemming van de rekenresource en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het is voltooid, worden de sjabloongegevens weergegeven.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de resourceneconfiguratie op de pagina Configuratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren op Volgende om het standaard schijfindeling en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie in de lijst met vermeldingen om de gewenste verbinding met de VM te bieden.
10	Configureer de volgende netwerkinstellingen op de pagina Sjabloon aanpassen : Hostnaam: voer de FQDN (hostnaam en domein) of een enkele woord hostnaam voor het knooppunt in. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Gebruik alleen kleine letters in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld om een succesvolle registratie bij de cloud te garanderen. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres: voer het IP-adres in voor de interne interface van het knooppunt. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund. Masker: voer het adres van het subnetmasker in puntdecimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway: voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dienst doet als een toegangspunt naar een ander netwerk. DNS-servers: voer een door komma's gescheiden lijst in met DNS-servers die domeinnamen naar numerieke IP-adressen vertalen. (Er zijn maximaal 4 DNS-vermeldingen toegestaan.) NTP-servers: voer de NTP-server van uw organisatie of een andere externe NTP-server in die voor uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster voor administratieve doeleinden bereikbaar zijn vanaf clients in uw netwerk. Indien gewenst kunt u de configuratie van de netwerkinstelling overslaan en de stappen volgen in De VM voor hybride databeveiliging instellen om de instellingen te configureren vanuit de knooppuntconsole. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 6.5. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op het knooppunt VM en kies Aan/uit > Inschakelen. De software voor hybride databeveiliging wordt als gast geïnstalleerd op de VM-host. U bent nu klaar om u aan te melden bij de console en het knooppunt te configureren. Tips voor probleemoplossing U kunt een vertraging van enkele minuten ervaren voordat de knooppuntcontainers omhoog komen. Tijdens de eerste keer opstarten verschijnt een bridge-firewallbericht op de console, waarbij u zich niet kunt aanmelden.

VM voor hybride databeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het knooppunt voor hybride databeveiliging en om de aanmeldgegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.

1	Selecteer in de VMware vSphere-client de VM van uw knooppunt voor hybride databeveiliging en het tabblad Console . De VM wordt opgestart en er wordt een aanmeldprompt weergegeven. Als de aanmeldingsprompt niet wordt weergegeven, drukt u op Enter.
2	Gebruik de volgende standaardaanmeldgegevens en -wachtwoorden om u aan te melden en de aanmeldgegevens te wijzigen: Aanmelden: `beheer` Wachtwoord: `Cisco` Aangezien u zich voor de eerste keer bij uw VM aanmeldt, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in De HDS-host-OVA installeren, slaat u de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken .
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig indien nodig de hostnaam, het domein of de NTP-server(s) om overeen te stemmen met uw netwerkbeleid. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen worden doorgevoerd.

De HDS-configuratie-ISO uploaden en koppelen

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u hebt gemaakt met de HDS-setuptool.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op een 'need to know'-basis, voor toegang door de VM's van hybride databeveiliging en alle beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen deze beheerders toegang hebben tot de gegevensopslag.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkerdeelvenster van de VMware vSphere-client op de ESXi-server.
Klik op de lijst Hardware van het tabblad Configuratie op Opslag.
Klik in de lijst Gegevensopslag met de rechtermuisknop op de gegevensopslag voor uw VM's en klik op Gegevensopslag bladeren.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand op uw computer hebt gedownload en klik op Openen.
Klik op Ja om de waarschuwing voor het uploaden/downloaden te accepteren en sluit het dialoogvenster Gegevensopslag.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te koppelen vanuit een ISO-bestand van de gegevensopslag en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Schakel Verbonden en Verbinding maken na inschakelen in.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

De volgende stappen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand loskoppelen nadat al uw knooppunten de configuratiewijzigingen hebben opgehaald. Zie (optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de installatie-URL van het HDS-knooppunt `https://[HDS node IP of FQDN]/Setup` in een webbrowser in, voer de beheerders gegevens in die u hebt ingesteld voor het knooppunt en klik vervolgens op aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy: de standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparent Non-Inspecting Proxy: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken en mogen geen wijzigingen vereisen om te werken met een niet-inspecterende proxy. Er is geen certificaat update vereist. Proxy transparant inspecteren: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy: met expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt en deze optie ondersteunt verschillende verificatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer. Proxyprotocol: kies http (toont en beheert alle verzoeken die zijn ontvangen van de client) of https (biedt een kanaal naar de server en de client ontvangt en valideert het servercertificaat). Kies een optie op basis van wat uw proxyserver ondersteunt. Verificatietype: kies uit de volgende verificatietypen: Geen: geen verdere verificatie is vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, voert u deze stappen uit en ziet u vervolgens Modus voor geblokkeerde externe DNS-resolutie uitschakelen.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Het eerste knooppunt in het cluster registreren

Bij deze taak wordt het algemene knooppunt gebruikt dat u hebt gemaakt in De VM voor hybride databeveiliging instellen, wordt het knooppunt geregistreerd bij de Webex-cloud en wordt het omgezet in een knooppunt voor hybride databeveiliging.

Wanneer u uw eerste knooppunt registreert, maakt u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn geïmplementeerd voor redundantie.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een resource toevoegen.
5	Voer in het eerste veld van de kaart Een knooppunt toevoegen een naam in voor het cluster waaraan u uw knooppunt voor hybride databeveiliging wilt toewijzen. We raden u aan een cluster een naam te geven op basis van de plaats waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: "San Francisco", "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw knooppunt in en klik op Toevoegen onderaan het scherm. Dit IP-adres of de FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De VM voor hybride databeveiliging instellen. Er wordt een bericht weergegeven dat aangeeft dat u uw knooppunt kunt registreren bij de Webex.
7	Klik op Naar knooppunt gaan. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw Webex-organisatie voor toegang tot uw knooppunt.
8	Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud.
9	Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Op de pagina Hybride databeveiliging wordt de nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources . Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten maken en registreren

Om extra knooppunten aan uw cluster toe te voegen, maakt u extra VM's en koppelt u hetzelfde ISO-configuratiebestand. Vervolgens registreert u het knooppunt. We raden aan dat u minimaal 3 knooppunten hebt.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine van de OVA en herhaal de stappen in De HDS-host-OVA installeren.
2	Stel de eerste configuratie in op de nieuwe VM en herhaal de stappen in De VM voor hybride databeveiliging instellen.
3	Herhaal op de nieuwe VM de stappen in De HDS-configuratie-ISO uploaden en koppelen.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Het HDS-knooppunt configureren voor proxyintegratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. Selecteer in https://admin.webex.comServices in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Alles weergeven. De pagina Resources hybride databeveiliging wordt weergegeven. Het nieuwe cluster wordt weergegeven op de pagina Resources . Klik op het cluster om de knooppunten weer te geven die aan het cluster zijn toegewezen. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam van uw knooppunt in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw knooppunt kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw organisatie voor toegang tot uw knooppunt. Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud. Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Het pop-upbericht Knooppunt toegevoegd wordt ook onderaan het scherm in Partnerhub weergegeven. Uw knooppunt is geregistreerd.

Tenantorganisaties beheren voor hybride databeveiliging met meerdere tenants

HDS met meerdere tenants activeren in Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor lokale coderingssleutels en andere beveiligingsservices.

Voordat u begint

Zorg ervoor dat u het instellen van uw HDS-cluster met meerdere tenants hebt voltooid met het vereiste aantal knooppunten.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken.
4	Klik op HDS activeren op de kaart HDS-status .

Tenantorganisaties toevoegen in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw cluster voor hybride databeveiliging.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het cluster waaraan u wilt dat een klant wordt toegewezen.
5	Ga naar het tabblad Toegewezen klanten .
6	Klik op Klanten toevoegen.
7	Selecteer de klant die u wilt toevoegen in het vervolgkeuzemenu.
8	Klik op Toevoegen. De klant wordt aan het cluster toegevoegd.
9	Herhaal stap 6 tot en met 8 om meerdere klanten aan uw cluster toe te voegen.
10	Klik op Gereed onderaan het scherm zodra u de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS-setuptool uit zoals beschreven in Hoofdsleutels voor klanten maken (CMK's) met de HDS-setuptool om het setupproces te voltooien.

Hoofdsleutels voor de klant maken met de HDS-setuptool

Voordat u begint

Wijs klanten toe aan het juiste cluster zoals beschreven in Tenantorganisaties toevoegen in Partner Hub. Voer de HDS-setuptool uit om het setupproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg ervoor dat u verbinding hebt met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK maken voor alle organisaties of CMK maken : klik op deze knop in de banner bovenaan het scherm om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op ... in de buurt van de status CMK-beheer in behandeling van een specifieke organisatie in de tabel en klik op CMK maken om CMK voor die organisatie te maken.
12	Wanneer het maken van CMK is gelukt, verandert de status in de tabel van CMK-beheer in behandeling in CMK beheerd.
13	Als het maken van CMK is mislukt, wordt een fout weergegeven.

Tenantorganisaties verwijderen

Voordat u begint

Na het verwijderen, kunnen gebruikers van klantorganisaties HDS niet meer gebruiken voor hun coderingsbehoeften en verliezen alle bestaande ruimten. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het tabblad Resources op het cluster waarvan u klantorganisaties wilt verwijderen.
5	Klik op de pagina die wordt geopend op Toegewezen klanten.
6	Klik in de lijst met klantorganisaties die worden weergegeven op ... aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken, zoals beschreven in CMK's van tenants die zijn verwijderd uit HDS intrekken.

CMK's van tenants die zijn verwijderd uit HDS intrekken.

Voordat u begint

Verwijder klanten uit het juiste cluster zoals beschreven in Tenantorganisaties verwijderen. Voer de HDS-setuptool uit om het verwijderingsproces voor de klantorganisaties die zijn verwijderd te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's intrekken om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op ... in de buurt van de CMK die moet worden ingetrokken status van een specifieke organisatie in de tabel en klik op CMK intrekken om CMK voor die specifieke organisatie in te trekken.
12	Wanneer CMK-intrekking is gelukt, wordt de klantorganisatie niet meer in de tabel weergegeven.
13	Als de CMK-intrekking mislukt, wordt een fout weergegeven.

Uw implementatie voor hybride databeveiliging testen

Uw implementatie van hybride databeveiliging testen

Gebruik deze procedure om coderingsscenario's voor hybride databeveiliging met meerdere tenants te testen.

Voordat u begint

Stel uw implementatie voor hybride databeveiliging met meerdere tenants in.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken naar uw implementatie van hybride databeveiliging met meerdere tenants worden doorgegeven.

1

Sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte.

Als u de implementatie voor hybride databeveiliging deactiveert, is inhoud in ruimten die gebruikers maken niet meer toegankelijk zodra de kopieën in de cache van de client van de coderingssleutels zijn vervangen.

2

Verzend berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de sleutelverzoeken naar uw implementatie voor hybride databeveiliging gaan.

Als u wilt controleren of een gebruiker eerst een beveiligd kanaal naar de KMS instelt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION:

U vindt een vermelding als het volgende (identifiers shortened for readability):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_SLEUTEL_VERZAMELING, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Als u wilt controleren of een gebruiker een bestaande sleutel van de KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuw KMS Resource Object (KRO) aanvraagt wanneer een omgeving of andere beschermde resource wordt gemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Hybride databeveiliging controleren

Een statusindicator in Partnerhub geeft aan of alles in orde is met de implementatie van hybride databeveiliging met meerdere tenants. Als u proactief belt, meldt u zich aan voor e-mailmeldingen. U wordt geïnformeerd wanneer er alarmen of software-upgrades zijn die invloed hebben op de service.

1	Selecteer in Partnerhub de optie Services in het menu aan de linkerkant van het scherm.
2	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken. De pagina Instellingen hybride databeveiliging wordt weergegeven.
3	Typ in het gedeelte E-mailmeldingen een of meer door komma's gescheiden e-mailadressen en druk op Enter.

Uw HDS-implementatie beheren

HDS-implementatie beheren

Gebruik de taken die hier worden beschreven om uw implementatie van hybride databeveiliging te beheren.

Planning van clusterupgrade instellen

Software-upgrades voor hybride databeveiliging worden automatisch op clusterniveau uitgevoerd, wat ervoor zorgt dat alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens de upgradeplanning voor het cluster. Wanneer een software-upgrade beschikbaar wordt, hebt u de optie het cluster handmatig vóór het geplande tijdstip van de upgrade te upgraden. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken van 3:00 uur Dagelijks in de Verenigde Staten: Amerika/Los Angeles. U kunt er ook voor kiezen om een aankomende upgrade uit te stellen, indien nodig.

De upgradeplanning instellen:

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices hybride databeveiliging en klik op Instellen
4	Selecteer het cluster op de pagina Resources hybride databeveiliging.
5	Klik op het tabblad Clusterinstellingen .
6	Selecteer op de pagina Clusterinstellingen bij Upgradeplanning de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone worden de volgende beschikbare upgradedatum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door op 24 uur uitstellen te klikken.

De knooppuntconfiguratie wijzigen

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset: de oude en nieuwe wachtwoorden werken beide maximaal 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset: de oude wachtwoorden werken niet direct meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige partnerbeheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container in 1.e opent. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de klant van uw Partnerhub in en klikt u vervolgens op Accepteren om door te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Als u de setuptool wilt afsluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als slechts één HDS-knooppunt wordt uitgevoerd, maakt u een nieuwe VM voor hybride databeveiliging en registreert u deze met het nieuwe ISO-configuratiebestand. Zie Meer knooppunten maken en registreren voor meer gedetailleerde instructies. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partnerhub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD-station 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe ISO-configuratiebestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het knooppunt voor hybride databeveiliging (IP-adres/setup, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersreferenties in die u voor het knooppunt instelt en klik vervolgens op Aanmelden.
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, wordt de geblokkeerde externe DNS-omzetting ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een knooppunt voor hybride databeveiliging te verwijderen uit de Webex-cloud. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host en schakel de virtuele machine uit.

2

Verwijder het knooppunt:

Meld u aan bij Partnerhub en selecteer Services.
Klik op de kaart Hybride databeveiliging op Alles weergeven om de pagina Resources hybride databeveiliging weer te geven.
Selecteer uw cluster om het deelvenster Overzicht weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Dit knooppunt afmelden in het deelvenster dat aan de rechterkant wordt weergegeven
U kunt de registratie van het knooppunt ook ongedaan maken door te klikken op … aan de rechterkant van het knooppunt en Dit knooppunt verwijderen te selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkerdeelvenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als u de VM niet verwijdert, vergeet dan niet om het ISO-configuratiebestand te ontkoppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken voor toegang tot uw beveiligingsgegevens.

Noodherstel met behulp van stand-bydatacenter

De meest kritieke service die uw cluster voor hybride databeveiliging biedt, is het maken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die is opgeslagen in de Webex-cloud te coderen. Voor elke gebruiker in de organisatie die is toegewezen aan hybride databeveiliging, worden aanvragen voor het maken van nieuwe sleutels naar het cluster gerouteerd. Het cluster is ook verantwoordelijk voor het retourneren van de gemaakte sleutels aan alle gebruikers die bevoegd zijn om deze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de kritieke functie uitvoert voor het leveren van deze sleutels, is het absoluut noodzakelijk dat het cluster blijft draaien en dat de juiste back-ups worden onderhouden. Verlies van de database voor hybride databeveiliging of van de configuratie-ISO die voor het schema wordt gebruikt, leidt tot ONHERSTELBAAR VERLIES van klantinhoud. Om dergelijk verlies te voorkomen, zijn de volgende praktijken verplicht:

Als de HDS-implementatie in het primaire datacenter niet beschikbaar wordt door een ramp, volgt u deze procedure om handmatig failover naar het stand-bydatacenter te maken.

Voordat u begint

De registratie van alle knooppunten van Partnerhub ongedaan maken, zoals vermeld in Een knooppunt verwijderen. Gebruik het nieuwste ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat eerder actief was, om de hieronder vermelde failoverprocedure uit te voeren.

1	Start de HDS-setuptool en volg de stappen die worden vermeld in Een configuratie-ISO voor de HDS-hosts maken.
2	Voltooi het configuratieproces en sla het ISO-bestand op een eenvoudig te vinden locatie op.
3	Maak een back-up van het ISO-bestand op uw lokale systeem. Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.
4	Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
5	Klik op Instellingen bewerken >CD/DVD-station 1 en selecteer ISO-gegevensopslagbestand. Zorg ervoor dat Verbonden en Verbinding maken bij inschakelen zijn ingeschakeld, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden nadat de knooppunten zijn gestart.
6	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
7	Registreer het knooppunt in Partnerhub. Raadpleeg Het eerste knooppunt in het cluster registreren.
8	Herhaal het proces voor elk knooppunt in het stand-bydatacenter.

De volgende stappen

Als het primaire datacenter na failover weer actief wordt, verwijdert u de registratie van de knooppunten van het stand-bydatacenter en herhaalt u het proces van configuratie van de ISO en registratie van de knooppunten van het primaire datacenter, zoals hierboven vermeld.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie wordt uitgevoerd met de aangekoppelde ISO. Sommige klanten geven er echter de voorkeur aan dat ISO-bestanden niet continu worden gekoppeld. U kunt het ISO-bestand loskoppelen nadat alle HDS-knooppunten de nieuwe configuratie hebben opgehaald.

U gebruikt nog steeds de ISO-bestanden om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO maakt of een ISO bijwerkt via de setuptool, moet u de bijgewerkte ISO op al uw HDS-knooppunten koppelen. Zodra alle knooppunten de configuratiewijzigingen hebben opgehaald, kunt u de ISO opnieuw loskoppelen met deze procedure.

Voordat u begint

Upgrade al uw HDS-knooppunten naar versie 2021.01.22.4720 of hoger.

1	Sluit een van uw HDS-knooppunten af.
2	Selecteer het HDS-knooppunt in het vCenter Server Appliance.
3	Kies Instellingen bewerken > CD/DVD-station en schakel ISO-gegevensopslagbestand uit.
4	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 20 minuten geen alarmen zijn.
5	Herhaal om de beurt voor elk HDS-knooppunt.

Problemen met hybride databeveiliging oplossen

Waarschuwingen weergeven en problemen oplossen

Een implementatie van Hybride databeveiliging wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn of als de cluster zo langzaam werkt dat een time-out wordt aangevraagd. Als gebruikers uw cluster voor hybride databeveiliging niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe ruimten worden gemaakt (kan geen nieuwe sleutels maken)
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers die aan een ruimte zijn toegevoegd (kunnen geen sleutels ophalen)
- Bestaande gebruikers in een ruimte met een nieuwe client (kunnen geen sleutels ophalen)
Bestaande gebruikers in een ruimte blijven succesvol draaien zolang hun clients een cache van de coderingssleutels hebben

Het is belangrijk dat u uw cluster voor hybride databeveiliging goed controleert en alle waarschuwingen onmiddellijk adresseert om onderbreking van de service te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van hybride databeveiliging, geeft Partnerhub waarschuwingen weer aan de organisatiebeheerder en verzendt u e-mails naar het geconfigureerde e-mailadres. De waarschuwingen behandelen veel algemene scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om deze op te lossen
Waarschuwing	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met lokale database mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste referenties van het serviceaccount zijn gebruikt in de knooppuntconfiguratie.
Toegang tot cloudservice mislukt.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Vereisten voor externe connectiviteit.
De registratie van cloudservice wordt verlengd.	Registratie bij cloudservices is verbroken. De registratie wordt verlengd.
Registratie van cloudservice verbroken.	Registratie bij cloudservices is beëindigd. Service wordt afgesloten.
Service nog niet geactiveerd.	HDS activeren in Partnerhub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde serviceactiveringsdomein. De meest waarschijnlijke oorzaak is dat de algemene naam van het certificaat onlangs is gewijzigd en nu anders is dan de algemene naam die tijdens de eerste installatie is gebruikt.
Kan niet verifiëren bij cloudservices.	Controleer op de nauwkeurigheid en mogelijke vervaldatum van de referenties van het serviceaccount.
Openen van lokaal keystore-bestand is mislukt.	Controleer op integriteit en wachtwoordnauwkeurigheid in het lokale keystore-bestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Kan statistieken niet plaatsen.	Controleer de toegang van het lokale netwerk tot externe cloudservices.
De map /media/configdrive/hds bestaat niet.	Controleer de ISO-koppelconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om te koppelen bij opnieuw opstarten en of het met succes wordt gekoppeld.
De tenantorganisatie-instellingen zijn niet voltooid voor de toegevoegde organisaties	Voltooi de installatie door CMK's te maken voor nieuw toegevoegde tenantorganisaties met de HDS-setuptool.
De tenantorganisatie is niet voltooid voor de verwijderde organisaties	Voltooi de installatie door CMK's van tenantorganisaties die zijn verwijderd met de HDS-setuptool in te trekken.

Problemen met hybride databeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybride databeveiliging.

1	Controleer Partnerhub voor waarschuwingen en los alle items op die u daar vindt. Zie de afbeelding hieronder ter referentie.
2	Controleer de uitvoer van de Syslog-server voor activiteit van de implementatie van hybride databeveiliging. Filter op woorden als 'Waarschuwing' en 'Fout' om problemen op te lossen.
3	Neem contact op met Cisco-ondersteuning.

Overige opmerkingen

Bekende problemen voor hybride databeveiliging

Als u uw cluster voor hybride databeveiliging afsluit (door deze te verwijderen in Partner Hub of door alle knooppunten te sluiten), uw ISO-configuratiebestand te verliezen of de toegang tot de keystore-database te verliezen, kunnen gebruikers van de Webex-app van klantorganisaties niet langer ruimten gebruiken onder hun lijst Personen die zijn gemaakt met sleutels van uw KMS. We hebben momenteel geen tijdelijke oplossing of oplossing voor dit probleem en we verzoeken u dringend uw HDS-services niet te beëindigen zodra deze actieve gebruikersaccounts afhandelen.
Een client die een bestaande ECDH-verbinding met een KMS heeft, onderhoudt die verbinding gedurende een bepaalde tijd (waarschijnlijk één uur).

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een tool die kan worden gebruikt om het PKCS12-bestand in de juiste indeling te maken voor het laden in de HDS-setuptool. Er zijn andere manieren om dit te doen, en we ondersteunen of promoten de ene weg niet boven de andere.
Als u ervoor kiest OpenSSL te gebruiken, bieden we deze procedure als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Begrijp deze vereisten voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel.
Start deze procedure wanneer u het servercertificaat ontvangt van uw certificerende instantie (CA).

1	Wanneer u het servercertificaat van uw CA ontvangt, slaat u het op als `hdsnode.pem`.
2	Geef het certificaat weer als tekst en verifieer de details. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een tekstverwerker om een certificaatbundelbestand met de naam `hdsnode-bundle.pem` te maken. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de basis-CA-certificaten bevatten in de onderstaande indeling: `----BEGIN CERTIFICATE------ ### Servercertificaat. ### -----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Tussenliggend CA-certificaat. ### ----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Basis CA-certificaat. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand met de beschrijvende naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -naam kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te coderen zodat deze wordt weergegeven in de uitvoer. Controleer vervolgens of de privésleutel en het eerste certificaat de regels bevatten `friendlyName: kms-privésleutel`. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Voer importwachtwoord in: Mac heeft OK Bag Attributes geverifieerd friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Sleutelkenmerken: Voer de PEM-wachtwoordzin in: Verifiëren - Voer de PEM-wachtwoordzin in: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Keer terug naar Aan de vereisten voor hybride databeveiliging voldoen. U gebruikt het bestand hdsnode.p12 en het wachtwoord dat u ervoor hebt ingesteld in Een configuratie-ISO voor de HDS-hosts maken.

U kunt deze bestanden opnieuw gebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-knooppunten en de cloud

Verzamelverkeer uitgaande statistieken

De knooppunten voor hybride databeveiliging verzenden bepaalde statistieken naar de Webex-cloud. Hieronder vallen systeemstatistieken voor max. heap, gebruikte heap, CPU-belasting en threadtelling; statistieken op synchrone en asynchrone threads; statistieken over waarschuwingen met een drempel voor coderingsverbindingen, latentie of een aanvraagwachtrijlengte; statistieken in de gegevensopslag; en statistieken voor coderingsverbinding. De knooppunten verzenden gecodeerd sleutelmateriaal via een out-of-band (afzonderlijk van het verzoek) kanaal.

Inkomend verkeer

De knooppunten voor hybride databeveiliging ontvangen de volgende typen inkomend verkeer van de Webex-cloud:

Coderingsverzoeken van clients, die door de coderingsservice worden gerouteerd
Upgrades van de knooppuntsoftware

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren die vereist zijn voor hybride databeveiliging. Deze secties bevatten leidraden voor het configureren van verschillende versies van inktvis om WSS te negeren: verkeer voor de juiste werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn toe aan squid.conf:

on_unsupported_protocol alles tunnel

Inktvis 3.5.27

De hybride gegevensbeveiliging is getest met de volgende regels die zijn toegevoegd aan inktvis. conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl stap1 at_step SslBump1 acl stap2 at_step SslBump2 acl stap3 at_step SslBump3 ssl_bump bekijk stap1 alle ssl_bump staren stap2 alle ssl_bump bump stap3 alle

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en eventuele grote fouten die zijn verholpen in de Implementatiehandleiding voor hybride gegevensbeveiliging met meerdere tenants.

Datum	Aangebrachte wijzigingen
16 april 2026	Bijgewerkte vereisten voor de databaseserver om ondersteuning toe te voegen voor PostgreSQL-versies 17 en 18.
25 maart 2026	Het standaardwachtwoord voor het inloggen op de virtuele machine van het Hybrid Data Security-knooppunt is bijgewerkt.
5 december 2025	Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts met de juiste UI-tekst op de pagina Systeemlogboeken en een instructie toegevoegd om het syslog-rootcertificaat te uploaden bij het configureren van TLS-versleuteling.
21 november 2025	Er is een sectie met veelgestelde vragen toegevoegd. Toegevoegde secties Standby-datacenter instellen voor noodherstel en Noodherstel met behulp van Standby-datacenter. De aanduiding (Beta) is verwijderd uit de titel van de implementatiehandleiding.
8 mei 2025	Toegevoegd Verplaats de bestaande HDS-implementatie met één tenant van een partnerorganisatie in Control Hub naar een HDS-configuratie met meerdere tenants in Partner Hub sectie. De syslog-uitvoer is bijgewerkt om de leesbaarheid te verbeteren in het gedeelte Test Your Hybrid Data Security Deployment. Bijgewerkte Vereisten voor virtuele hosts, Taakstroom voor de implementatie van hybride gegevensbeveiliging, en Installeer de HDS Host OVA om ondersteuning voor ESXi 8.0 toe te voegen.
4 maart 2025	Toegevoegd Voer HDS Setup-tool uit met Podman Desktop sectie. Er is een notitie toegevoegd in Docker Desktop-vereisten waarin klanten een alternatieve open-source optie wordt geboden. Bijgewerkt Maak een configuratie-ISO voor de HDS-hosts en Wijzig de knooppuntconfiguratie met instructies voor het gebruik van Podman Desktop voor klanten zonder Docker Desktop-licentie.
30 januari 2025	SQL Server versie 2022 is toegevoegd aan de lijst met ondersteunde SQL-servers in Database server requirements.
15 januari 2025	Toegevoegd Beperkingen van Multi-Tenant Hybrid Data Security.
8 januari 2025	Er is een notitie toegevoegd in Voer de eerste installatie uit en download de installatiebestanden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	De bijgewerkte Virtual Host Requirements, Hybrid Data Security Deployment Task Flow, en Install the HDS Host OVA tonen de nieuwe vereisten van ESXi 7.0.
13 december 2024	Eerste publicatie.

Deactiveer hybride gegevensbeveiliging voor meerdere tenants

Taakstroom voor het deactiveren van HDS in een multi-tenantomgeving

Volg deze stappen om Multi-Tenant HDS volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een Partner met volledige beheerdersrechten.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Verwijder tenantorganisaties.
2	Trek de CMK's van alle klanten in, zoals vermeld in Trek de CMK's in van huurders die uit HDS zijn verwijderd..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partner Hub met behulp van een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybrid Data Security en klik op HDS deactiveren op de HDS-statuskaart.

Veelgestelde vragen

Vraag: Worden de CMK's en de hoofdsleutel in de ISO of in de database opgeslagen?

A: Klantsleutels (CMK's) worden opgeslagen in de database en versleuteld met de hoofdsleutel, die is opgeslagen in de ISO-image.

Vraag: Wordt één sleutel gebruikt om alle gegevens van klantorganisaties te versleutelen?

A: Nee. De gegevens van elke klantorganisatie worden versleuteld met een eigen CMK (Customer Main Key).

Vraag: Wat gebeurt er als ik HDS uitschakel via Partner Hub?

A: Sommige werkzaamheden, zoals het inrichten van een ruimte en het plannen van vergaderingen, zullen direct worden beïnvloed. De bestaande inhoud in de ruimtes blijft toegankelijk totdat de lokale cache verloopt. Na 24 uur worden gebruikers die door de partner worden beheerd, overgezet naar Cloud KMS. Dit kan problemen veroorzaken met eerder aangemaakte ruimtes en één-op-één-ruimtes.

Vraag: Zodra de CMK voor een klantorganisatie is gegenereerd via de HDS Setup-tool, kunnen gebruikers van die klantorganisatie dan direct gebruikmaken van Multi-Tenant HDS?

A: Het kan maximaal 24 uur duren voordat de cloudcache is vernieuwd.

Vraag: Waarom zie ik geen lijst met klanten wanneer ik op de knop 'Klanten toevoegen' klik in Partner Hub?

A: Dit betekent meestal dat er geen klantorganisaties zijn die voldoen aan de Cisco Webex-licentievereisten.

Vraag: Wat zijn de gevolgen als alle HDS-nodes uitvallen of als een netwerkprobleem alle HDS-nodes treft?

A: Werkzaamheden zoals het inrichten van ruimtes en het plannen van vergaderingen worden direct beïnvloed. De bestaande inhoud is alleen toegankelijk totdat de lokale cache verloopt.

Vraag: Zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel die tijdens het aanmaken van de ISO-image is gegenereerd?

A: Ja. Momenteel zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel. In de toekomst zullen partnerorganisaties partnerspecifieke sleutels hebben, vergelijkbaar met de CMK's van klanten.

Vraag: Kunnen de partnerorganisatie en de huurdersorganisaties zich in verschillende regio's bevinden (bijvoorbeeld de VS en de EU)?

A: Ja. Partner- en huurdersorganisaties kunnen in verschillende geografische regio's gevestigd zijn.

Vraag: Bestaat er een manier om sleutels terug te zetten naar Cloud KMS?

A: Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug naar de cloud te verplaatsen.

Vraag: Kan een partner Cloud KMS blijven gebruiken en Multi-Tenant HDS exclusief inzetten voor het beheer van klanten?

A: Nee, dit wordt momenteel niet ondersteund. Ondersteuning voor deze functionaliteit is gepland voor de toekomst.

Vraag: Hoe kan een partner controleren of hun organisatie Multi-Tenant HDS gebruikt voor encryptie?

A: Log in bij Partner Hub. Ga naar Diensten > Hybride gegevensbeveiliging > Instellingen . Als de HDS-status is geactiveerd, maken zowel gebruikers van de partnerorganisatie als toegewezen klanten gebruik van Multi-Tenant HDS.

U kunt ook uw systeemlogboeken raadplegen om te controleren of HDS is geactiveerd. Zie Test uw hybride databeveiligingsimplementatie.

Vraag: Bestaat er een alternatief voor Docker Desktop om de HDS Setup-tool uit te voeren?

A: Ja. Podman Desktop is een open-source alternatief voor Docker Desktop. Zie Voer de HDS-installatietool uit met Podman Desktop.

Vraag: Hoeveel knooppunten kan ik inzetten in een HDS-cluster met meerdere tenants?

A: We raden minimaal twee en maximaal 1000 nodes aan.

Vraag: Wat zijn de netwerkvereisten voor het opzetten van Multi-Tenant HDS?

A: Zie Externe verbindingsvereisten.

Vraag: Is Pro Pack voor Control Hub een vereiste voor partnerorganisaties?

A: Nee. Het Pro Pack is geen vereiste voor partnerorganisaties. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij het instellen van Multi-Tenant HDS.

Vraag: Wordt HSM ondersteund in Multi-Tenant HDS?

A: Nee, Multi-Tenant HDS ondersteunt momenteel geen HSM.

Vraag: Kan ik Multi-Tenant HDS testen met een zelfondertekend certificaat?

A: Nee. Multi-Tenant HDS vereist een certificaat dat is verkregen van een vertrouwde CA en dat voldoet aan alle vereisten die worden vermeld in X.509 Certificate Requirements.

Vraag: Is het nodig om de ISO-image elke keer te mounten wanneer een nieuwe klant wordt toegevoegd in Partner Hub?

A: Nee. De ISO hoeft alleen te worden gekoppeld wanneer ISO-configuraties worden gewijzigd. Wanneer u een nieuwe klant toevoegt aan Partner Hub, zorg er dan voor dat u CMK's kunt aanmaken met behulp van de HDS Setup Tool. Zie Klanthoofdsleutels (CMK's) maken met de HDS-installatietool.

Vraag: Gaan gebruikers van de partnerorganisatie, nadat Multi-Tenant HDS is geïmplementeerd op Partner Hub, gebruikmaken van een on-premises KMS voor sleutelbeheer?

A: Gebruikers kunnen pas na de activering van HDS in Partner Hub gebruikmaken van het on-premises KMS voor sleutelbeheer.

Ga aan de slag met hybride gegevensbeveiliging voor meerdere tenants.

Overzicht van gegevensbeveiliging in een hybride omgeving met meerdere tenants

Vanaf dag één stond gegevensbeveiliging centraal bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end contentversleuteling, mogelijk gemaakt door Webex App-clients die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle Webex App-klanten end-to-end-encryptie met dynamische sleutels die zijn opgeslagen in het cloud-KMS, binnen het beveiligingsdomein van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Multi-Tenant Hybrid Data Security stelt organisaties in staat om HDS te benutten via een vertrouwde lokale partner, die kan optreden als serviceprovider en on-premises encryptie en andere beveiligingsdiensten kan beheren. Deze opzet geeft de partnerorganisatie volledige controle over de implementatie en het beheer van encryptiesleutels en zorgt ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties zetten HDS-instanties op en creëren HDS-clusters waar nodig. Elke instantie kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één enkele organisatie.

Hoewel partnerorganisaties de controle hebben over de implementatie en het beheer, hebben ze geen toegang tot de gegevens en content die door klanten worden gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Dit maakt het voor kleinere organisaties ook mogelijk om HDS te gebruiken, aangezien de sleutelbeheerservice en de beveiligingsinfrastructuur, zoals datacenters, in handen zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging voor meerdere tenants datasoevereiniteit en databeheer mogelijk maakt

Door gebruikers gegenereerde content is beschermd tegen externe toegang, bijvoorbeeld via cloudserviceproviders.
Lokale, vertrouwde partners beheren de encryptiesleutels van klanten waarmee ze al een gevestigde relatie hebben.
Mogelijkheid tot lokale technische ondersteuning, indien aangeboden door de partner.
Ondersteunt vergaderingen, berichten en telefoongesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het opzetten en beheren van klanten binnen een hybride databeveiligingssysteem met meerdere tenants.

Beperkingen van hybride gegevensbeveiliging voor meerdere tenants

Partnerorganisaties mogen geen actieve HDS-implementatie in Control Hub hebben.
Huurders of klantorganisaties die door een partner beheerd willen worden, mogen geen bestaande HDS-implementatie in Control Hub hebben.
Zodra Multi-Tenant HDS door de partner is geïmplementeerd, kunnen alle gebruikers van de klantorganisaties, evenals de gebruikers van de partnerorganisatie, Multi-Tenant HDS gebruiken voor hun encryptiediensten.

De partnerorganisatie en de klantorganisaties die zij beheren, zullen gebruikmaken van dezelfde Multi-Tenant HDS-implementatie.

De partnerorganisatie zal na de implementatie van Multi-Tenant HDS geen gebruik meer maken van cloud-KMS.
Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug te verplaatsen naar Cloud KMS.
Beheerdersrollen hebben bepaalde beperkingen; zie het onderstaande gedeelte voor meer informatie.

Rollen in hybride databeveiliging met meerdere tenants

Partner volledig beheerder - Kan de instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder - Kan instellingen beheren voor klanten die de beheerder heeft aangemaakt of die aan de gebruiker zijn toegewezen.
Volledig beheerder - Beheerder van de partnerorganisatie die gemachtigd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

Volledige Multi-Tenant HDS-configuratie en -beheer voor alle klantorganisaties - Partner met volledige beheerdersrechten en volledige beheerdersrechten vereist.
Beheer van toegewezen huurderorganisaties - Partnerbeheerder en volledige beheerdersrechten vereist.

Architectuur van het beveiligingsdomein

De Webex-cloudarchitectuur scheidt verschillende soorten diensten in afzonderlijke domeinen, of vertrouwensgebieden, zoals hieronder weergegeven.

Om Hybrid Data Security beter te begrijpen, kijken we eerst naar dit pure cloudscenario, waarbij Cisco alle functies in zijn cloudomgevingen aanbiedt. De identiteitsservice, de enige plek waar gebruikers direct gekoppeld kunnen worden aan hun persoonlijke gegevens zoals e-mailadres, is logisch en fysiek gescheiden van het beveiligingsdomein in datacenter B. Beide zijn op hun beurt weer gescheiden van het domein waar de versleutelde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker draait en zich heeft geauthenticeerd bij de identiteitsservice. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, vinden de volgende stappen plaats:

De klant legt een beveiligde verbinding met de sleutelbeheerservice (KMS) tot stand en vraagt vervolgens een sleutel aan om het bericht te versleutelen. De beveiligde verbinding maakt gebruik van ECDH en het KMS versleutelt de sleutel met een AES-256 hoofdsleutel.
Het bericht wordt versleuteld voordat het de client verlaat. De klant stuurt het naar de indexeringsservice, die versleutelde zoekindexen aanmaakt om toekomstige zoekopdrachten naar de inhoud te vergemakkelijken.
Het versleutelde bericht wordt naar de compliance-dienst gestuurd voor nalevingscontroles.
Het versleutelde bericht wordt opgeslagen in het opslagdomein.

Bij de implementatie van Hybrid Data Security worden de beveiligingsfuncties (KMS, indexering en compliance) verplaatst naar uw eigen datacenter. De overige clouddiensten waaruit Webex bestaat (waaronder identiteitsbeheer en contentopslag) blijven eigendom van Cisco.

Samenwerken met andere organisaties

Gebruikers binnen uw organisatie gebruiken de Webex-app mogelijk regelmatig om samen te werken met externe deelnemers van andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze door een van uw gebruikers is aangemaakt), stuurt uw KMS de sleutel via een met ECDH beveiligd kanaal naar de client. Als een andere organisatie echter de sleutel voor de ruimte bezit, stuurt uw KMS het verzoek via een apart ECDH-kanaal naar de Webex-cloud om de sleutel van de betreffende KMS op te halen, waarna de sleutel via het oorspronkelijke kanaal naar uw gebruiker wordt teruggestuurd.

De KMS-service die op organisatie A draait, valideert de verbindingen met KMS'en in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat voor gebruik met uw Multi-Tenant Hybrid Data Security-implementatie.

Verwachtingen voor de implementatie van hybride gegevensbeveiliging

Een hybride databeveiligingsimplementatie vereist een aanzienlijke inzet en bewustzijn van de risico's die gepaard gaan met het bezit van encryptiesleutels.

Om hybride gegevensbeveiliging te implementeren, moet u het volgende aanleveren:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang beschreven in Bereid uw omgeving voor.

Als u de configuratie-ISO die u voor Hybrid Data Security hebt gemaakt of de database die u hebt aangeleverd volledig kwijtraakt, gaan de sleutels verloren. Sleutelverlies voorkomt dat gebruikers de inhoud van de ruimte en andere versleutelde gegevens in de Webex-app kunnen decoderen. Als dit gebeurt, kunt u een nieuwe implementatie bouwen, maar dan is alleen de nieuwe inhoud zichtbaar. Om te voorkomen dat u de toegang tot uw gegevens verliest, moet u het volgende doen:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid op een snelle noodherstelprocedure in geval van een ramp, zoals een defecte databaseschijf of een datacentrumstoring.

Er bestaat geen mechanisme om sleutels na een HDS-implementatie terug naar de cloud te verplaatsen.

Installatieproces op hoog niveau

Dit document beschrijft de configuratie en het beheer van een hybride databeveiligingsimplementatie voor meerdere tenants.

Hybride gegevensbeveiliging instellen— Dit omvat het voorbereiden van de benodigde infrastructuur en het installeren van de software voor hybride gegevensbeveiliging, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan het cluster en het beheren van hun klantsleutels (CMK's). Dit stelt alle gebruikers van uw klantorganisaties in staat om uw hybride databeveiligingscluster te gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in de volgende drie hoofdstukken uitgebreid behandeld.
Onderhoud uw Hybrid Data Security-implementatie—De Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan eerstelijns support bieden voor deze implementatie en indien nodig Cisco support inschakelen. In Partner Hub kunt u schermmeldingen gebruiken en e-mailwaarschuwingen instellen.
Begrijp veelvoorkomende waarschuwingen, stappen voor probleemoplossing en bekende problemen—Als u problemen ondervindt bij het implementeren of gebruiken van Hybrid Data Security, kunnen het laatste hoofdstuk van deze handleiding en de bijlage met bekende problemen u helpen het probleem te achterhalen en op te lossen.

Hybride implementatiemodel voor gegevensbeveiliging

Binnen uw bedrijfsdatacenter implementeert u Hybrid Data Security als één cluster van knooppunten op afzonderlijke virtuele hosts. De nodes communiceren met de Webex-cloud via beveiligde websockets en beveiligd HTTP.

Tijdens het installatieproces leveren we u het OVA-bestand waarmee u de virtuele appliance kunt instellen op de virtuele machines die u aanlevert. Met de HDS Setup Tool maak je een aangepast ISO-bestand voor de clusterconfiguratie aan, dat je vervolgens op elke node koppelt. Het Hybrid Data Security-cluster maakt gebruik van de door u geleverde Syslogd-server en een PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS Setup Tool.)

Hybride implementatiemodel voor gegevensbeveiliging

Het minimum aantal knooppunten dat je in een cluster kunt hebben, is twee. We raden minimaal drie per cluster aan. Het gebruik van meerdere knooppunten zorgt ervoor dat de dienstverlening niet wordt onderbroken tijdens een software-upgrade of andere onderhoudswerkzaamheden aan een knooppunt. (De Webex-cloud voert slechts één upgrade tegelijk uit op één knooppunt.)

Alle knooppunten in een cluster hebben toegang tot dezelfde sleuteldatastore en registreren hun activiteiten op dezelfde syslog-server. De knooppunten zelf zijn stateless en verwerken belangrijke verzoeken volgens een round-robin-principe, zoals aangegeven door de cloud.

Knooppunten worden actief zodra u ze registreert in Partner Hub. Om een individueel knooppunt buiten gebruik te stellen, kunt u het afmelden en later, indien nodig, opnieuw aanmelden.

Standby-datacenter voor noodherstel

Tijdens de implementatie richt u een beveiligd standby-datacenter in. In geval van een datacentrumramp kunt u uw implementatie handmatig overzetten naar het standby-datacentrum.

De databases van de actieve en standby-datacenters zijn met elkaar gesynchroniseerd, waardoor de tijd die nodig is om de failover uit te voeren tot een minimum wordt beperkt.

De actieve Hybrid Data Security-nodes moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Richt een standby-datacenter in voor noodherstel.

Volg de onderstaande stappen om het ISO-bestand van het standby-datacenter te configureren:

Voordat u begint

Het standby-datacenter moet een afspiegeling zijn van de productieomgeving met virtuele machines en een back-updatabase van PostgreSQL of Microsoft SQL Server. Als de productieomgeving bijvoorbeeld 3 VM's heeft waarop HDS-nodes draaien, dan moet de back-upomgeving ook 3 VM's hebben. (Zie Standby-datacenter voor noodherstel voor een overzicht van dit failover-model.)
Zorg ervoor dat de databasesynchronisatie tussen de databases van de actieve en passieve clusterknooppunten is ingeschakeld.

1	Start de HDS Setup-tool en volg de stappen die worden vermeld in Een configuratie-ISO maken voor de HDS-hosts. Het ISO-bestand moet een kopie zijn van het originele ISO-bestand van het primaire datacenter waarop de volgende configuratie-updates moeten worden uitgevoerd.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe om het knooppunt in de passieve modus te zetten. In deze modus wordt het knooppunt geregistreerd bij de organisatie en verbonden met de cloud, maar verwerkt het geen verkeer. `passiveMode: 'true'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk terug te vinden locatie op.
5	Maak een back-upkopie van het ISO-bestand op uw lokale systeem. Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken..
7	Klik op Instellingen bewerken >CD/DVD Schijf 1 en selecteer Datastore ISO-bestand. Zorg ervoor dat Connected en Connect at power on zijn aangevinkt, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het opstarten van de nodes.
8	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 15 minuten geen alarmen worden gegenereerd.
9	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslogs om te verifiëren dat de knooppunten in passieve modus staan. Je zou het bericht "KMS geconfigureerd in passieve modus" in de systeemlogboeken moeten kunnen zien.

De volgende stappen

Nadat je passiveMode in het ISO-bestand hebt geconfigureerd en het hebt opgeslagen, kun je een andere kopie van het ISO-bestand maken zonder de passiveMode -configuratie en deze op een veilige locatie opslaan. Deze kopie van het ISO-bestand zonder passiveMode kan helpen bij een snel failoverproces tijdens noodherstel. Zie Rampenherstel met behulp van Standby Data Center voor de gedetailleerde failoverprocedure.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy—De standaardinstelling als u de HDS-knooppuntconfiguratie Trust Store niet gebruikt. & Proxyconfiguratie voor het integreren van een proxy. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie—De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken en zouden geen wijzigingen nodig moeten hebben om met een proxy zonder inspectie te werken. Er is geen certificaat update vereist.
Transparante tunneling of inspectieproxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy—Met een expliciete proxy geeft u de HDS-nodes aan welke proxyserver en welk authenticatieschema ze moeten gebruiken. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Volmacht IP/FQDN—Adres waarmee de proxymachine kan worden bereikt.
2. Proxypoort—Een poortnummer dat de proxy gebruikt om te luisteren naar geproxyeerd verkeer.
3. Proxyprotocol—Afhankelijk van wat uw proxyserver ondersteunt, kunt u kiezen uit de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Authenticatietype—Kies uit de volgende authenticatietypen:
  - Geen—Verdere authenticatie is niet vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis—Wordt gebruikt door een HTTP-gebruikersagent om een gebruikersnaam en wachtwoord te verstrekken bij het doen van een verzoek. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Samenvatting—Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride gegevensbeveiliging in multi-tenantomgevingen

Cisco Webex-licentievereisten

Om hybride gegevensbeveiliging voor meerdere tenants te implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de Multi-Tenant-functie is ingeschakeld.
Huurdersorganisaties: Voor Cisco Webex Control Hub hebt u het Pro Pack nodig. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat je je HDS-nodes installeert, moet je Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

Klanten zonder een Docker Desktop-licentie kunnen een open-source containerbeheertool zoals Podman Desktop gebruiken om containers uit te voeren, te beheren en te creëren. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Certificaatvereisten X.509

De certificaatketen moet aan de volgende eisen voldoen:

Tabel 1. X.509-certificaatvereisten voor hybride implementatie van gegevensbeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA).	Standaard vertrouwen we de CA's in de Mozilla-lijst (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Beschikt over een Common Name (CN) domeinnaam die uw Hybrid Data Security-implementatie identificeert. Het is geen wildcardcertificaat.	Het CN hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die uw organisatie weerspiegelt, bijvoorbeeld `hds.company.com`. De CN mag geen * (jokerteken). De CN wordt gebruikt om de Hybrid Data Security-nodes te verifiëren voor Webex App-clients. Alle Hybrid Data Security-nodes in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met behulp van het CN-domein, niet met een domein dat is gedefinieerd in de x.509v3 SAN-velden. Nadat u een node met dit certificaat hebt geregistreerd, is het niet mogelijk om de CN-domeinnaam te wijzigen.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS-systemen van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS-bestand. #12 bestand Gebruik de gebruiksvriendelijke naam `kms-private-key` om het certificaat, de privésleutel en eventuele tussenliggende certificaten te taggen die u wilt uploaden.	Je kunt een converter zoals OpenSSL gebruiken om het formaat van je certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS Setup Tool uitvoert.

De KMS-software legt geen beperkingen op aan sleutelgebruik of uitgebreid sleutelgebruik. Sommige certificeringsinstanties vereisen dat er uitgebreidere gebruiksbeperkingen voor sleutels op elk certificaat van toepassing zijn, zoals serverauthenticatie. Het is prima om serverauthenticatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als Hybrid Data Security-nodes in uw cluster configureert, moeten aan de volgende vereisten voldoen:

Minimaal twee afzonderlijke hosts (3 aanbevolen) die zich in hetzelfde beveiligde datacenter bevinden.
VMware ESXi 7.0 of 8.0 is geïnstalleerd en actief.

Als u een oudere versie van ESXi gebruikt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB werkgeheugen en 30 GB lokale harde schijfruimte per server.

Vereisten voor de databaseserver

Maak een nieuwe database aan voor het opslaan van sleutels. Gebruik niet de standaarddatabase. De HDS-applicaties maken na installatie het databaseschema aan.

Er zijn twee opties voor de databaseserver. De vereisten voor elk zijn als volgt:

Tabel 2. Vereisten voor databaseservers per type database
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 of 18 moet geïnstalleerd en actief zijn.	SQL Server 2016, 2017, 2019 of 2022 (Enterprise of Standard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en Cumulative Update 2 of later.
Minimaal 8 vCPU's, 16 GB werkgeheugen, voldoende schijfruimte en monitoring om te voorkomen dat deze wordt overschreden (2 TB wordt aanbevolen als u de database langdurig wilt gebruiken zonder de opslagruimte te hoeven uitbreiden).	Minimaal 8 vCPU's, 16 GB werkgeheugen, voldoende schijfruimte en monitoring om te voorkomen dat deze wordt overschreden (2 TB wordt aanbevolen als u de database langdurig wilt gebruiken zonder de opslagruimte te hoeven uitbreiden).

De HDS-software installeert momenteel de volgende driverversies voor de communicatie met de databaseserver:

PostgreSQL

Microsoft SQL Server

Postgres JDBC-stuurprogramma 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze driverversie ondersteunt SQL Server Always On ( Always On Failover Cluster Instances en Always On availability groups).

Aanvullende vereisten voor Windows-authenticatie bij Microsoft SQL Server.

Als u wilt dat HDS-nodes Windows-authenticatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, dan hebt u de volgende configuratie in uw omgeving nodig:

De HDS-nodes, de Active Directory-infrastructuur en MS SQL Server moeten allemaal gesynchroniseerd zijn met NTP.
Het Windows-account dat u aan HDS-nodes verstrekt, moet beschikken over... read/write toegang tot de database.
De DNS-servers die u aan HDS-nodes verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het HDS-database-exemplaar op uw Microsoft SQL Server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een Service Principal Name registreren voor Kerberos-verbindingen.

De HDS-installatietool, de HDS-launcher en de lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de gegevens uit uw ISO-configuratie om de SPN samen te stellen bij het aanvragen van toegang met Kerberos-authenticatie.

Externe verbindingsvereisten

Configureer uw firewall om de volgende verbindingen voor de HDS-toepassingen toe te staan:

App	Protocol	Poort	Routebeschrijving vanuit de app	Bestemming
Hybride databeveiligingsknooppunten	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die worden vermeld voor Hybrid Data Security in de Aanvullende URL's voor Webex Hybrid Services tabel van Netwerkvereisten voor Webex Services
HDS-installatietool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De Hybrid Data Security-nodes werken met Network Access Translation (NAT) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen naar de domeinbestemmingen in de voorgaande tabel toestaat. Voor inkomende verbindingen naar de Hybrid Data Security-nodes mogen er geen poorten zichtbaar zijn vanaf het internet. Binnen uw datacenter hebben klanten voor administratieve doeleinden toegang nodig tot de Hybrid Data Security-nodes op TCP-poorten 443 en 22.

De URL's voor de Common Identity (CI)-hosts zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	Algemene identiteitshost-URL's
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxies die HTTPS-verkeer inspecteren, kunnen de totstandkoming van een websocketverbinding verstoren. (wss:) verbindingen. Om dit probleem te omzeilen, zie Squid-proxies configureren voor hybride gegevensbeveiliging.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, lost het omzeilen (niet inspecteren) van het verkeer naar wbx2.com en ciscospark.com het probleem op.

Voltooi de voorwaarden voor hybride gegevensbeveiliging.

Gebruik deze checklist om ervoor te zorgen dat u klaar bent om uw Hybrid Data Security-cluster te installeren en configureren.

1	Zorg ervoor dat uw partnerorganisatie de Multi-Tenant HDS-functie heeft ingeschakeld en verkrijg de inloggegevens van een account met volledige beheerdersrechten voor de partnerorganisatie. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor Pro Pack voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509 Certificate Requirements.
3	Maak identieke virtuele hosts aan die u als Hybrid Data Security-nodes in uw cluster gaat configureren. Je hebt minimaal twee aparte hosts nodig (3 aanbevolen) die zich in hetzelfde beveiligde datacenter bevinden en die voldoen aan de vereisten in Virtual Host Requirements.
4	Bereid de databaseserver voor die als belangrijkste gegevensopslag voor het cluster zal fungeren, volgens de vereisten voor de databaseserver. De databaseserver moet zich in hetzelfde beveiligde datacenter bevinden als de virtuele hosts. Maak een database aan voor het opslaan van sleutels. (U moet deze database zelf aanmaken; gebruik niet de standaarddatabase.) De HDS-applicaties maken na installatie het databaseschema aan. Verzamel de gegevens die de knooppunten zullen gebruiken om met de databaseserver te communiceren: de hostnaam of het IP-adres (host) en poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle privileges op de sleutelopslagdatabase
5	Voor snel herstel na een ramp kunt u een back-upomgeving in een ander datacenter inrichten. De back-upomgeving is een exacte kopie van de productieomgeving met virtuele machines en een back-updatabaseserver. Als de productieomgeving bijvoorbeeld 3 VM's heeft waarop HDS-nodes draaien, dan moet de back-upomgeving ook 3 VM's hebben.
6	Configureer een syslog-host om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Stel een veilig back-upbeleid in voor de Hybrid Data Security-nodes, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het configuratie-ISO-bestand dat is gegenereerd voor de Hybrid Data Security-nodes. Omdat de Hybrid Data Security-nodes de sleutels opslaan die worden gebruikt voor het versleutelen en ontsleutelen van inhoud, zal het niet in stand houden van een operationele implementatie leiden tot het ONHERSTELBARE VERLIES van die inhoud. Webex-appclients slaan hun sleutels in de cache op, waardoor een storing mogelijk niet direct merkbaar is, maar na verloop van tijd wel duidelijk zal worden. Hoewel tijdelijke storingen niet te voorkomen zijn, kunnen ze wel worden verholpen. Echter, bij volledig verlies (geen back-ups beschikbaar) van de database of het configuratie-ISO-bestand zullen de klantgegevens onherstelbaar verloren gaan. Van de beheerders van de Hybrid Data Security-nodes wordt verwacht dat zij regelmatig back-ups maken van de database en het configuratie-ISO-bestand, en dat zij voorbereid zijn om het Hybrid Data Security-datacenter opnieuw op te bouwen in geval van een catastrofale storing.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit toestaat voor uw Hybrid Data Security-nodes, zoals beschreven in Externe connectiviteitsvereisten.
9	Installeer Docker ( https://www.docker.com) op een willekeurige lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bit, of Mac OSX Yosemite 10.10.3 of hoger) en een webbrowser die er toegang toe heeft via http://127.0.0.1:8080. Je gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren. Deze tool bouwt de lokale configuratiegegevens voor alle Hybrid Data Security-nodes. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Docker Desktop-vereisten voor meer informatie. Om de HDS Setup Tool te installeren en uit te voeren, moet de lokale machine beschikken over de connectiviteit zoals beschreven in Externe connectiviteitsvereisten.
10	Als u een proxy integreert met Hybrid Data Security, zorg er dan voor dat deze voldoet aan de Proxy Server Requirements.

Een hybride gegevensbeveiligingscluster opzetten

Taakstroom voor de implementatie van hybride gegevensbeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download de installatiebestanden. Download het OVA-bestand naar uw lokale computer voor later gebruik.
2	Maak een configuratie-ISO voor de HDS-hosts. Gebruik de HDS Setup Tool om een ISO-configuratiebestand te maken voor de Hybrid Data Security-nodes.
3	Installeer de HDS Host OVA Maak een virtuele machine aan vanuit het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie om netwerkinstellingen te configureren tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	Configureer de Hybrid Data Security VM Meld u aan bij de VM-console en stel de aanmeldingsgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u dit niet hebt gedaan tijdens de OVA-implementatie.
5	Upload en koppel de HDS-configuratie-ISO. Configureer de VM met behulp van het ISO-configuratiebestand dat u met de HDS Setup Tool hebt gemaakt.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geef dan het type proxy op dat u voor het knooppunt wilt gebruiken en voeg het proxycertificaat indien nodig toe aan de vertrouwensarchief.
7	Registreer het eerste knooppunt in het cluster. Registreer de VM bij de Cisco Webex-cloud als een Hybrid Data Security-node.
8	Maak en registreer meer knooppunten. Voltooi de clusterconfiguratie.
9	Activeer Multi-Tenant HDS op Partner Hub. Activeer HDS en beheer tenantorganisaties via Partner Hub.

Voer de eerste installatie uit en download de installatiebestanden.

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u hebt ingesteld als Hybrid Data Security-nodes). Je gebruikt dit bestand later in het installatieproces.

1	Meld u aan bij Partner Hub en klik vervolgens op Services.
2	Zoek in het gedeelte Hybride de kaart Hybride gegevensbeveiliging en klik vervolgens op Instellen. Het klikken op Instellen in Partner Hub is cruciaal voor het implementatieproces. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een bron toevoegen en klik op .OVA-bestand downloaden op de kaart Software installeren en configureren. Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades van Hybrid Data Security. Dit kan problemen veroorzaken tijdens het upgraden van de applicatie. Zorg ervoor dat je de nieuwste versie van het OVA-bestand downloadt. Je kunt de OVA ook op elk gewenst moment downloaden via de Help sectie. Klik op Instellingen > Hulp > Download Hybrid Data Security-software. Het OVA-bestand wordt automatisch gedownload. Sla het bestand op een locatie op uw computer op.

Maak een configuratie-ISO voor de HDS-hosts.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten vere vereist.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1 tot en met 5 in de onderstaande procedure. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS-proxy zonder verificatie

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP-proxy met verificatie

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS-proxy met verificatie

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stable

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stable

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Ga met een webbrowser naar localhost, http://127.0.0.1:8080en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd.

De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.

7

Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.

8

Klik op de overzichtspagina van de installatietool op Aan de slag.

9

Op de pagina ISO Import heb je de volgende opties:

Nee—Als je je eerste HDS-node aanmaakt, heb je geen ISO-bestand om te uploaden.
Ja—Als je al HDS-nodes hebt aangemaakt, selecteer je je ISO-bestand in de bladerfunctie en upload je het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als je nog nooit eerder een certificaat hebt geüpload, upload dan het X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.
Als uw certificaat in orde is, klik dan op Doorgaan.
Als uw certificaat is verlopen of als u het wilt vervangen, selecteer dan Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van de vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account voor HDS in om toegang te krijgen tot uw belangrijkste gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u kiest voor Microsoft SQL Server, krijgt u een veld voor het authenticatietype.
(Alleen Microsoft SQL Server ) Selecteer uw authenticatietype:
- Basisverificatie: U moet een lokale SQL Server-accountnaam invullen in het veld Gebruikersnaam.
- Windows-verificatie: Je hebt een Windows-account nodig in het formaat username@DOMAIN in het veld Gebruikersnaam.
Voer het adres van de databaseserver in in de vorm : of :.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

Je kunt een IP-adres gebruiken voor basisauthenticatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de volgende indeling: dbhost.example.org:1433
Voer de databasenaamin.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle privileges op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
TLS prefereren (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS inschakelt op de databaseserver, proberen de knooppunten een versleutelde verbinding tot stand te brengen.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Database root certificate. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Nadat een TLS-verbinding tot stand is gebracht, vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Database root certificate. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Database host en poort. De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het rootcertificaat uploadt (indien nodig) en op Doorgaanklikt, test de HDS Setup Tool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege connectiviteitsverschillen kunnen de HDS-nodes mogelijk wel een TLS-verbinding tot stand brengen, zelfs als de HDS Setup Tool-machine deze niet succesvol kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet via DNS kan worden opgelost vanaf de knooppunten van uw HDS-cluster, gebruik dan een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 Geeft aan dat er wordt gelogd naar Syslogd host 10.92.43.23 op UDP-poort 514.
Als u uw server hebt ingesteld voor TLS-versleuteling, controleer dan Is uw server geconfigureerd voor TLS-onderhandeling/handshake?.

Als u dit selectievakje aanvinkt, zorg er dan voor dat u een TCP-URL invoert, bijvoorbeeld tcp://10.92.43.23:514, en upload het syslog-rootcertificaat.
Selecteer in het vervolgkeuzemenu Kies de beëindiging van syslog-records de juiste instelling voor uw ISO-bestand: Choose of Newline wordt gebruikt voor Graylog en Rsyslog TCP.
- Null-byte -- \x00
- Nieuwe regel -- \n—Selecteer deze optie voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige databaseverbindingsparameters wijzigen in Geavanceerde instellingen. Over het algemeen is dit de enige parameter die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxSize: 10

15

Klik op Doorgaan op het scherm Wachtwoord serviceaccounts opnieuw instellen.

Serviceaccountwachtwoorden hebben een geldigheidsduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen zijn of wanneer u ze wilt resetten om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een gemakkelijk terug te vinden locatie op.

17

Maak een back-upkopie van het ISO-bestand op uw lokale systeem.

Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.

18

Om de Setup-tool af te sluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het configuratie-ISO-bestand. Je hebt het nodig om meer knooppunten voor herstel aan te maken, of om configuratiewijzigingen door te voeren. Als je alle kopieën van het ISO-bestand kwijtraakt, ben je ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels uit uw PostgreSQL- of Microsoft SQL Server-database te herstellen.

Wij hebben nooit een kopie van deze sleutel en kunnen u niet helpen als u hem kwijtraakt.

Installeer de HDS Host OVA

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om in te loggen op de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Selecteer een naam en map voert u een Virtuele machinenaam in voor het knooppunt (bijvoorbeeld "HDS_Node_1"), kiest u een locatie waar de implementatie van het virtuele machineknooppunt kan worden geplaatst en klikt u vervolgens op Volgende.
5	Op de pagina Selecteer een computerbron kiest u de gewenste computerbron en klikt u vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het proces is voltooid, verschijnen de sjabloongegevens.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u op de pagina Configuratie wordt gevraagd de resourceconfiguratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren ] op Volgende om het standaard schijfformaat en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie uit de lijst met vermeldingen om de gewenste verbinding met de VM tot stand te brengen.
10	Configureer op de pagina Sjabloon aanpassen de volgende netwerkinstellingen: Hostnaam—Voer de FQDN (hostnaam en domein) of een hostnaam van één woord in voor het knooppunt. U hoeft het domein niet gelijk te stellen aan het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Om een succesvolle registratie bij de cloud te garanderen, dient u in de FQDN of hostnaam die u voor het knooppunt instelt, uitsluitend kleine letters te gebruiken. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet meer dan 64 tekens bedragen. IP-adres— Voer het IP-adres in voor de interne interface van het knooppunt. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund. Masker—Voer het subnetmaskeradres in puntnotatie in. Bijvoorbeeld, 255.255.255.0. Gateway—Voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat fungeert als toegangspunt tot een ander netwerk. DNS-servers—Voer een door komma's gescheiden lijst in van DNS-servers die domeinnamen omzetten naar numerieke IP-adressen. (Maximaal 4 DNS-vermeldingen zijn toegestaan.) NTP-servers—Voer de NTP-server van uw organisatie in of een andere externe NTP-server die binnen uw organisatie gebruikt kan worden. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. Je kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Plaats alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster bereikbaar zijn vanaf clients in uw netwerk voor beheerdoeleinden. Indien gewenst kunt u de configuratie van de netwerkinstellingen overslaan en de stappen in De Hybrid Data Security VM instellen volgen om de instellingen via de nodeconsole te configureren. De optie om netwerkinstellingen te configureren tijdens de OVA-implementatie is getest met ESXi 7.0 en 8.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op de VM van het knooppunt en kies vervolgens Energie > Inschakelen. De Hybrid Data Security-software is als gastbesturingssysteem geïnstalleerd op de VM-host. Je bent nu klaar om in te loggen op de console en het knooppunt te configureren. Tips voor probleemoplossing Het kan een paar minuten duren voordat de node-containers opstarten. Tijdens het eerste opstarten verschijnt er een firewallbericht op de console, waardoor u zich niet kunt aanmelden.

Configureer de Hybrid Data Security VM

Gebruik deze procedure om voor de eerste keer in te loggen op de VM-console van het Hybrid Data Security-knooppunt en de inloggegevens in te stellen. Je kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als je dat niet hebt gedaan tijdens de OVA-implementatie.

1	Selecteer in de VMware vSphere-client uw Hybrid Data Security-knooppunt-VM en selecteer het tabblad Console. De virtuele machine start op en er verschijnt een inlogscherm. Als het inlogscherm niet verschijnt, druk dan op Enter.
2	Gebruik de volgende standaard gebruikersnaam en het volgende wachtwoord om in te loggen en de inloggegevens te wijzigen: Login: `admin` Wachtwoord: `ciscosystems` Aangezien u voor het eerst inlogt op uw virtuele machine, moet u het beheerderswachtwoord wijzigen.
3	Als je de netwerkinstellingen al hebt geconfigureerd in Installeer de HDS Host OVA, sla dan de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken.
4	Stel een statische configuratie in met IP-adres, subnetmasker, gateway en DNS-gegevens. Uw node moet een intern IP-adres en een DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig de hostnaam, het domein of de NTP-server(s) indien nodig om aan uw netwerkbeleid te voldoen. U hoeft het domein niet gelijk te stellen aan het domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en herstart de virtuele machine zodat de wijzigingen van kracht worden.

Upload en koppel de HDS-configuratie-ISO.

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u met de HDS Setup Tool hebt gemaakt.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen toegankelijk zijn voor diegenen die er echt toe in staat zijn ("need-to-know"), namelijk voor de Hybrid Data Security VM's en beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen beheerders toegang hebben tot de datastore.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkernavigatievenster van de VMware vSphere-client op de ESXi-server.
Klik in de lijst Hardware op het tabblad Configuratie op Opslag.
Klik in de lijst met datastores met de rechtermuisknop op de datastore voor uw VM's en klik op Datastore doorbladeren.
Klik op het pictogram 'Bestand uploaden' en klik vervolgens op Bestand uploaden.
Navigeer naar de locatie op uw computer waar u het ISO-bestand hebt gedownload en klik op Openen.
Klik op Ja om te accepteren upload/download Er verschijnt een waarschuwing over de werking, waarna het dialoogvenster van de gegevensopslag wordt gesloten.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing over de beperkte bewerkingsopties te accepteren.
Klik op CD/DVD Drive 1, selecteer de optie om te koppelen vanaf een datastore ISO-bestand en blader naar de locatie waar u het configuratie-ISO-bestand hebt geüpload.
Controleer Verbonden en Verbinden bij inschakelen.
Sla je wijzigingen op en herstart de virtuele machine.

De volgende stappen

Indien uw IT-beleid dit vereist, kunt u het ISO-bestand optioneel ontkoppelen nadat al uw knooppunten de configuratiewijzigingen hebben overgenomen. Zie (Optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxy-ondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de URL voor de HDS-node-configuratie `https://[HDS Node IP or FQDN]/setup` in een webbrowser in, voer de beheerdersgegevens in die u voor de node hebt ingesteld en klik vervolgens op Aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy—De standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparante niet-inspecterende proxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken en zouden geen wijzigingen nodig moeten hebben om met een niet-inspecterende proxy te werken. Er is geen certificaat update vereist. Transparante inspectieproxy— De knooppunten zijn niet geconfigureerd om een specifiek proxy-serveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy—Met een expliciete proxy geeft u de client (HDS-nodes) aan welke proxyserver moet worden gebruikt. Deze optie ondersteunt verschillende authenticatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Volmacht IP/FQDN—Adres waarmee de proxymachine kan worden bereikt. Proxypoort—Een poortnummer dat de proxy gebruikt om te luisteren naar geproxyeerd verkeer. Proxyprotocol—Kies http (bekijkt en beheert alle verzoeken die van de client worden ontvangen) of https (biedt een kanaal naar de server en de client ontvangt en valideert het certificaat van de server). Kies een optie op basis van wat uw proxyserver ondersteunt. Authenticatietype—Kies uit de volgende authenticatietypen: Geen—Verdere authenticatie is niet vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis—Wordt gebruikt door een HTTP-gebruikersagent om een gebruikersnaam en wachtwoord te verstrekken bij het doen van een verzoek. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Samenvatting—Wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, volg dan deze stappen en bekijk vervolgens Schakel de geblokkeerde externe DNS-resolutiemodus uit.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Registreer het eerste knooppunt in het cluster.

Deze taak neemt het generieke knooppunt dat u hebt gemaakt in De Hybrid Data Security VM instellen, registreert het knooppunt bij de Webex-cloud en maakt er een Hybrid Data Security-knooppunt van.

Wanneer u uw eerste knooppunt registreert, creëert u een cluster waaraan het knooppunt wordt toegewezen. Een cluster bevat een of meer knooppunten die zijn ingezet om redundantie te bieden.

Voordat u begint

Zodra je begint met de registratie van een node, moet je deze binnen 60 minuten voltooien, anders moet je opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u de kaart Hybride gegevensbeveiliging en klikt u op Instellen.
4	Klik op de pagina die wordt geopend op Een bron toevoegen.
5	Voer in het eerste veld van de kaart Een nieuw cluster aanmaken een naam in voor het cluster waaraan u uw Hybrid Data Security-node wilt toewijzen. We raden aan om een cluster te benoemen op basis van de geografische locatie van de knooppunten in het cluster. Voorbeelden: "San Francisco" of "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik onderaan het scherm op Toevoegen. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De Hybrid Data Security VM instellen. Er verschijnt een bericht waarin staat dat u uw node kunt registreren bij Webex.
7	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je Webex-organisatie toestemming wilt geven om toegang te krijgen tot je node.
8	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij de Webex-cloud.
9	Klik op de link of sluit het tabblad om terug te gaan naar de pagina Hybride gegevensbeveiliging van Partner Hub. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources. Het apparaat downloadt automatisch de nieuwste software vanuit de cloud.

Maak en registreer meer knooppunten.

Om extra knooppunten aan uw cluster toe te voegen, hoeft u alleen maar extra virtuele machines aan te maken, hetzelfde configuratie-ISO-bestand te koppelen en vervolgens het knooppunt te registreren. Wij raden aan om minimaal 3 nodes te hebben.

Voordat u begint

Zodra je begint met de registratie van een node, moet je deze binnen 60 minuten voltooien, anders moet je opnieuw beginnen.
Zorg ervoor dat eventuele pop-upblokkers in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine aan vanuit de OVA, door de stappen in Installeer de HDS Host OVAte herhalen.
2	Stel de initiële configuratie in op de nieuwe VM door de stappen in De hybride databeveiligings-VM instellente herhalen.
3	Herhaal op de nieuwe VM de stappen in Upload en koppel de HDS-configuratie-ISO.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Configureer het HDS-knooppunt voor proxy-integratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. In https://admin.webex.com, selecteer Services in het menu aan de linkerkant van het scherm. In het gedeelte Hybride vindt u de kaart Hybride gegevensbeveiliging en klikt u op Alles bekijken. De pagina met bronnen voor hybride gegevensbeveiliging verschijnt. Het nieuw gecreëerde cluster verschijnt op de pagina Resources. Klik op het cluster om de aan het cluster toegewezen knooppunten te bekijken. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw node kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je organisatie toestemming wilt geven om toegang te krijgen tot je node. Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij de Webex-cloud. Klik op de link of sluit het tabblad om terug te gaan naar de pagina Hybride gegevensbeveiliging van Partner Hub. Knooppunt toegevoegd Er verschijnt ook een pop-upbericht onderaan het scherm in Partner Hub. Uw node is geregistreerd.

De volgende stappen

Om extra clusters te creëren, logt u in bij Partner Hub en klikt u op Services. > Hybride gegevensbeveiliging > Alles bekijken > Voeg een cluster toe. Volg de stappen die in het bovenstaande gedeelte worden beschreven om het eerste knooppunt aan de extra cluster(s) toe te voegen.

Beheer tenantorganisaties op een hybride databeveiligingsomgeving met meerdere tenants.

Activeer Multi-Tenant HDS op Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor on-premises encryptiesleutels en andere beveiligingsdiensten.

Voordat u begint

Zorg ervoor dat u de configuratie van uw Multi-Tenant HDS-cluster met het vereiste aantal knooppunten hebt voltooid.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellingen bewerken.
4	Klik op Activeer HDS op de HDS-status kaart.

Voeg huurdersorganisaties toe in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw hybride gegevensbeveiligingscluster.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Alles bekijken.
4	Ga naar het tabblad Toegewezen klanten. Het tabblad Toegewezen klanten wordt pas weergegeven nadat u een cluster hebt aangemaakt.
5	Klik op Klanten toevoegen.
6	Selecteer de klant die u wilt toevoegen in het keuzemenu.
7	Klik op Toevoegen, de klant wordt toegevoegd aan het cluster.
8	Herhaal stap 5 tot en met 7 om meerdere klanten aan uw cluster toe te voegen.
9	Klik op Klaar onderaan het scherm zodra je de klanten hebt toegevoegd. Toegevoegde klanten worden gesynchroniseerd over alle beschikbare clusters.

De volgende stappen

Voer de HDS Setup-tool uit zoals beschreven in Klanthoofdsleutels (CMK's) aanmaken met de HDS Setup-tool om het installatieproces te voltooien.

Maak klanthoofdsleutels (CMK's) aan met behulp van de HDS-configuratietool.

Voordat u begint

Wijs klanten toe zoals beschreven in Voeg tenantorganisaties toe in Partner Hub. Gebruik de HDS Setup-tool om het installatieproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, geef dan de proxy-instellingen (server, poort, inloggegevens) op via Docker-omgevingsvariabelen bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Ga met een webbrowser naar localhost, `http://127.0.0.1:8080`en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd. De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.
7	Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.
8	Klik op de overzichtspagina van de installatietool op Aan de slag.
9	Klik op de pagina ISO Import op Ja.
10	Selecteer je ISO-bestand in de browser en upload het. Zorg voor een verbinding met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK Management, waar u de volgende drie manieren vindt om Tenant CMK's te beheren. CMK aanmaken voor alle organisaties of CMK aanmaken - Klik op deze knop in de banner bovenaan het scherm om CMK's aan te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik vervolgens op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op naast de status 'CMK-beheer in behandeling' van een specifieke organisatie in de tabel en klik vervolgens op CMK maken om een CMK voor die organisatie te maken.
12	Zodra de CMK-aanmaak succesvol is, verandert de status in de tabel van CMK-beheer in behandeling naar CMK beheerd.
13	Als het aanmaken van de CMK niet lukt, wordt er een foutmelding weergegeven.

Verwijder huurderorganisaties

Voordat u begint

Na verwijdering kunnen gebruikers van klantorganisaties HDS niet langer gebruiken voor hun encryptiebehoeften en verliezen ze alle bestaande opslagruimte. Voordat u klantorganisaties verwijdert, dient u contact op te nemen met uw Cisco-partner of accountmanager.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Alles bekijken.
4	Klik op de pagina die verschijnt op het tabblad Toegewezen klanten.
5	Klik in de lijst met weergegeven klantorganisaties op aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik vervolgens op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken, zoals beschreven in CMK's intrekken van tenants die uit HDS zijn verwijderd.

Trek de CMK-licenties in van huurders die uit HDS zijn verwijderd.

Voordat u begint

Verwijder klanten zoals beschreven in Verwijder huurderorganisaties. Gebruik de HDS Setup-tool om het verwijderingsproces te voltooien voor de verwijderde klantorganisaties.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Ga met een webbrowser naar localhost, `http://127.0.0.1:8080`en voer de beheerdersgebruikersnaam voor Partner Hub in wanneer daarom wordt gevraagd. De tool gebruikt dit eerste deel van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. De tool toont vervolgens het standaard aanmeldscherm.
7	Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor de Partner Hub-beheerder in en klik vervolgens op Aanmelden om toegang te verlenen tot de vereiste services voor Hybrid Data Security.
8	Klik op de overzichtspagina van de installatietool op Aan de slag.
9	Klik op de pagina ISO Import op Ja.
10	Selecteer je ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK Management, waar u de volgende drie manieren vindt om Tenant CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle verwijderde organisaties in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik vervolgens op CMK's intrekken om de CMK's van alle verwijderde organisaties in te trekken. Klik op naast de status CMK die moet worden ingetrokken van een specifieke organisatie in de tabel en klik op CMK intrekken om de CMK voor die specifieke organisatie in te trekken.
12	Zodra de CMK-intrekking succesvol is, zal de klantorganisatie niet langer in de tabel verschijnen.
13	Als de intrekking van de CMK niet lukt, wordt er een foutmelding weergegeven.

Test uw implementatie van Hybrid Data Security.

Test uw hybride implementatie voor gegevensbeveiliging.

Gebruik deze procedure om scenario's voor encryptie van hybride gegevensbeveiliging in een multi-tenantomgeving te testen.

Voordat u begint

Configureer uw hybride databeveiligingsimplementatie voor meerdere tenants.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken worden doorgegeven aan uw Multi-Tenant Hybrid Data Security-implementatie.

1

De sleutels voor een bepaalde ruimte worden ingesteld door de maker van die ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte aan.

Als u de Hybrid Data Security-implementatie deactiveert, is de inhoud in ruimtes die gebruikers maken niet langer toegankelijk zodra de in de clientcache opgeslagen kopieën van de versleutelingssleutels zijn vervangen.

2

Stuur berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de belangrijkste verzoeken worden doorgegeven aan uw Hybrid Data Security-implementatie.

Als een gebruiker van een nieuw toegevoegde klantorganisatie een actie uitvoert, verschijnt de organisatie-ID van die organisatie in de logboeken. Deze ID kan worden gebruikt om te controleren of de organisatie gebruikmaakt van Multi-Tenant HDS. Controleer de waarde van kms.data.orgId in de syslogs.

Om te controleren of een gebruiker eerst een beveiligd kanaal naar de KMS tot stand brengt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION. :

Je zou een vermelding moeten vinden zoals de volgende (identificaties zijn ingekort voor de leesbaarheid):

2025-04-10 04:38:20.208 (+0000) INFO  KMS [pool-19-thread-13] - [KMS:REQUEST] received, deviceId: 
https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5 ecdheKid: kms://collabdemoorg.cisco.com/statickeys/8[~]3 
clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]6,
 kms.data.method=create, kms.merc.id=d[~]7, kms.merc.sync=false, kms.data.uriHost=collabdemoorg.cisco.com, 
kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=1[~]f, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/ecdhe, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een bestaande sleutel bij het KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY. :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:38:24.144 (+0000) INFO  KMS [pool-19-thread-26] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::0 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558)
 WEBEX_TRACKINGID=webex-web-client_0[~]0, kms.data.method=retrieve, kms.merc.id=5[~]3, kms.merc.sync=false,
 kms.data.uriHost=collabdemoorg.cisco.com, kms.data.type=KEY, kms.data.requestId=4[~]7, kms.data.orgId=2[~]b,
 kms.data.uri=kms://collabdemoorg.cisco.com/keys/2[~]e, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:42:22.739 (+0000) INFO  KMS [pool-19-thread-29] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/4[~]5
 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 clusterConnection: prodachm::7 orgId: 2[~]b
 (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]3, kms.data.method=create, 
kms.merc.id=6[~]4, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, 
kms.data.orgId=2[~]b, kms.data.uri=/keys, kms.data.userId=1[~]f, kms.data.httpUserAgent=[~]

Om te controleren of een gebruiker een verzoek heeft ingediend voor het aanmaken van een nieuw KMS Resource Object (KRO) wanneer een ruimte of andere beveiligde resource wordt aangemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION. :

U zoekt naar een invoer die er als volgt uitziet:

2025-04-10 04:42:23.690 (+0000) INFO  KMS [pool-19-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/3[~]6 ecdheKid: kms://collabdemoorg.cisco.com/ecdhe/b[~]9 
clusterConnection: prodachm::1 orgId: 2[~]b (EncryptionKmsMessageHandler.java:558) WEBEX_TRACKINGID=webex-web-client_0[~]2,
 kms.data.method=create, kms.merc.id=3[~]0, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=5[~]8, kms.data.orgId=2[~]b, kms.data.uri=/resources, kms.data.userId=1[~]f, kms.data.httpUserAgent=conversation

Monitor de status van de hybride gegevensbeveiliging

Een statusindicator in Partner Hub laat zien of alles naar behoren werkt met de Multi-Tenant Hybrid Data Security-implementatie. Voor meer proactieve waarschuwingen kunt u zich aanmelden voor e-mailnotificaties. U wordt op de hoogte gesteld wanneer er alarmen zijn die de dienstverlening beïnvloeden of wanneer er software-updates beschikbaar zijn.

1	In Partner Hub, selecteer Services in het menu aan de linkerkant van het scherm.
2	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellingen bewerken. De pagina 'Hybride gegevensbeveiligingsinstellingen' verschijnt.
3	Typ in het gedeelte 'E-mailmeldingen' een of meer e-mailadressen, gescheiden door komma's, en druk op Enter.

Beheer uw HDS-implementatie.

Beheer HDS-implementatie

Gebruik de hier beschreven taken om uw Hybrid Data Security-implementatie te beheren.

Clusterupgradeplanning instellen

Software-upgrades voor Hybrid Data Security worden automatisch op clusterniveau uitgevoerd, waardoor alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens het upgradeschema voor het cluster. Wanneer er een software-upgrade beschikbaar komt, hebt u de mogelijkheid om het cluster handmatig te upgraden vóór het geplande upgradetijdstip. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken. 3:00 AM Daily Verenigde Staten: America/Los Angeles. U kunt er ook voor kiezen om een geplande upgrade uit te stellen, indien nodig.

Om het upgradeschema in te stellen:

1	Meld u aan bij Partner Hub.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Instellen
4	Selecteer het cluster op de pagina Hybride gegevensbeveiligingsbronnen.
5	Klik op het tabblad Clusterinstellingen.
6	Selecteer op de pagina Clusterinstellingen, onder Upgradeplanning, de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone wordt de eerstvolgende beschikbare upgrade-datum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door te klikken op Uitstellen met 24 uur.

Wijzig de knooppuntconfiguratie

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset—Zowel het oude als het nieuwe wachtwoord blijven tot 10 dagen geldig. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset—De oude wachtwoorden werken direct niet meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor de installatie zijn de inloggegevens van een Partner Hub-account met volledige beheerdersrechten vereist.

Als u geen Docker Desktop-licentie hebt, kunt u Podman Desktop gebruiken om de HDS Setup-tool uit te voeren voor de stappen 1.a tot en met 1.e in de onderstaande procedure. Zie Voer de HDS-installatietool uit met Podman Desktop voor meer informatie.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in 1.e. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stable` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De installatietool ondersteunt geen verbinding met localhost via . http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Voer, wanneer daarom wordt gevraagd, uw inloggegevens voor Partner Hub in en klik vervolgens op Accepteren om verder te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Om de Setup-tool af te sluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als u slechts één HDS-node hebt draaien, maak dan een nieuwe Hybrid Data Security- node VM aan en registreer deze met behulp van het nieuwe configuratie-ISO-bestand. Voor meer gedetailleerde instructies, zie Meer knooppunten aanmaken en registreren. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partner Hub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD Drive 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe configuratie-ISO-bestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het Hybrid Data Security-knooppunt (IP-adres). address/setup, Voer https://192.0.2.0/setup), bijvoorbeeld de beheerdersgegevens in die u voor het knooppunt hebt ingesteld en klik vervolgens opAanmelden .
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, is geblokkeerde externe DNS-resolutie ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een Hybrid Data Security-node uit de Webex-cloud te verwijderen. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om in te loggen op de ESXi virtuele host en de virtuele machine uit te schakelen.

2

Verwijder het knooppunt:

Meld u aan bij Partner Hub en selecteer vervolgens Services.
Klik op de kaart Hybride gegevensbeveiliging op Alles weergeven om de pagina met bronnen voor hybride gegevensbeveiliging weer te geven.
Selecteer uw cluster om het overzichtspaneel weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Deze node deactiveren in het paneel dat aan de rechterkant verschijnt.
Je kunt het knooppunt ook deactiveren door op de drie puntjes (...) rechts van het knooppunt te klikken en Knooppunt deactiverente selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkernavigatievenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als je de virtuele machine niet verwijdert, vergeet dan niet het configuratie-ISO-bestand te ontkoppelen. Zonder het ISO-bestand kunt u de virtuele machine niet gebruiken om toegang te krijgen tot uw beveiligingsgegevens.

Rampenherstel met behulp van een standby-datacenter

De belangrijkste dienst die uw Hybrid Data Security-cluster levert, is het aanmaken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die in de Webex-cloud is opgeslagen, te versleutelen. Voor elke gebruiker binnen de organisatie die is toegewezen aan Hybrid Data Security, worden nieuwe aanvragen voor het aanmaken van sleutels doorgestuurd naar het cluster. Het cluster is er ook verantwoordelijk voor dat de door het cluster aangemaakte sleutels worden teruggegeven aan alle gebruikers die gemachtigd zijn om ze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de cruciale functie vervult van het leveren van deze sleutels, is het van essentieel belang dat het cluster operationeel blijft en dat er adequate back-ups worden gemaakt. Verlies van de Hybrid Data Security-database of van het configuratie-ISO-bestand dat voor het schema wordt gebruikt, zal leiden tot ONHERSTELBAAR VERLIES van klantgegevens. De volgende procedures zijn verplicht om dergelijk verlies te voorkomen:

Als een calamiteit ervoor zorgt dat de HDS-implementatie in het primaire datacenter niet beschikbaar is, volg dan deze procedure om handmatig over te schakelen naar het standby-datacenter.

Voordat u begint

Gebruik het meest recente ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat voorheen actief was, om de hieronder beschreven failoverprocedure uit te voeren.

1	Start de HDS Setup-tool en volg de stappen die worden vermeld in Een configuratie-ISO maken voor de HDS-hosts.
2	Nadat u de Syslogd-server hebt geconfigureerd, klikt u op Geavanceerde instellingen
3	Voeg op de pagina Geavanceerde instellingen de onderstaande configuratie toe of verwijder de `passiveMode` configuratie om het knooppunt te activeren. Het knooppunt kan het verkeer verwerken zodra dit is geconfigureerd. `passiveMode: 'false'`
4	Voltooi het configuratieproces en sla het ISO-bestand op een gemakkelijk terug te vinden locatie op.
5	Maak een back-upkopie van het ISO-bestand op uw lokale systeem. Bewaar de back-upkopie op een veilige plek. Dit bestand bevat een hoofdsleutel voor de encryptie van de database-inhoud. Beperk de toegang tot alleen die beheerders van Hybrid Data Security die configuratiewijzigingen mogen aanbrengen.
6	Klik in het linkernavigatievenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken..
7	Klik op Instellingen bewerken >CD/DVD Schijf 1 en selecteer Datastore ISO-bestand. Zorg ervoor dat Connected en Connect at power on zijn aangevinkt, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden na het opstarten van de nodes.
8	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 15 minuten geen alarmen worden gegenereerd.
9	Herhaal dit proces voor elk knooppunt in het standby-datacenter. Controleer de syslog-uitvoer om te verifiëren dat de knooppunten van het standby-datacenter niet in de passieve modus staan. De melding "KMS geconfigureerd in passieve modus" mag niet in de systeemlogboeken verschijnen.

De volgende stappen

Als het primaire datacenter na de failover weer actief wordt, zet u het standby-datacenter opnieuw in de passieve modus door de stappen te volgen die beschreven staan in Standby-datacenter instellen voor noodherstel.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie werkt met de ISO-chip gemonteerd. Sommige klanten geven er echter de voorkeur aan om ISO-bestanden niet continu gekoppeld te laten. Je kunt het ISO-bestand ontkoppelen nadat alle HDS-nodes de nieuwe configuratie hebben overgenomen.

Je gebruikt de ISO-bestanden nog steeds om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO aanmaakt of een ISO bijwerkt via de Setup Tool, moet u de bijgewerkte ISO op al uw HDS-nodes koppelen. Zodra al uw knooppunten de configuratiewijzigingen hebben overgenomen, kunt u de ISO met deze procedure weer ontkoppelen.

Voordat u begint

Upgrade al uw HDS-nodes naar versie 2025.06.02.6983 of later.

1	Schakel een van uw HDS-nodes uit.
2	Selecteer in de vCenter Server Appliance het HDS-knooppunt.
3	Kies Instellingen bewerken > CD/DVD schijf en vink Datastore ISO-bestanduit.
4	Schakel de HDS-node in en zorg ervoor dat er gedurende minimaal 20 minuten geen alarmen worden gegenereerd.
5	Herhaal dit voor elk HDS-knooppunt.

Problemen met hybride gegevensbeveiliging oplossen

Waarschuwingen bekijken en problemen oplossen

Een hybride databeveiligingsimplementatie wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn, of als het cluster zo traag werkt dat aanvragen een time-out krijgen. Als gebruikers geen toegang hebben tot uw Hybrid Data Security-cluster, ondervinden ze de volgende symptomen:

Er kunnen geen nieuwe ruimtes worden aangemaakt (het is niet mogelijk om nieuwe sleutels aan te maken).
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers toegevoegd aan een ruimte (sleutels kunnen niet worden opgehaald)
- Bestaande gebruikers in een ruimte die een nieuwe client gebruiken (kunnen geen sleutels ophalen)
Bestaande gebruikers in een omgeving kunnen succesvol blijven werken zolang hun clients een cache met de encryptiesleutels hebben.

Het is belangrijk dat u uw Hybrid Data Security-cluster goed in de gaten houdt en eventuele waarschuwingen onmiddellijk afhandelt om serviceonderbrekingen te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van Hybrid Data Security, geeft Partner Hub waarschuwingen weer aan de organisatiebeheerder en verzendt het e-mails naar het geconfigureerde e-mailadres. De waarschuwingen hebben betrekking op veel voorkomende scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om ze op te lossen
Waarschuwing	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met de lokale database mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste serviceaccountgegevens zijn gebruikt in de nodeconfiguratie.
Fout bij toegang tot de cloudservice.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Externe verbindingsvereisten.
Registratie voor cloudservice verlengen.	De registratie voor clouddiensten is stopgezet. De verlenging van de registratie is in behandeling.
Het aantal aanmeldingen voor cloudservices is gedaald.	Registratie voor cloudservices beëindigd. De dienst wordt afgesloten.
De dienst is nog niet geactiveerd.	Activeer HDS in Partner Hub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde domein voor serviceactivering. De meest waarschijnlijke oorzaak is dat de CN van het certificaat recent is gewijzigd en nu verschilt van de CN die tijdens de initiële installatie is gebruikt.
Authenticatie voor cloudservices is mislukt.	Controleer de juistheid en eventuele vervaldatum van de serviceaccountgegevens.
Het openen van het lokale sleutelarchiefbestand is mislukt.	Controleer de integriteit en juistheid van het wachtwoord in het lokale sleutelarchiefbestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Het lukt niet om statistieken te publiceren.	Controleer de toegang tot externe cloudservices via het lokale netwerk.
/media/configdrive/hds De map bestaat niet.	Controleer de ISO-mountconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om bij het opnieuw opstarten te worden aangekoppeld en of het aankoppelen succesvol verloopt.
De configuratie van de tenantorganisatie is niet voltooid voor de toegevoegde organisaties.	Voltooi de installatie door CMK's aan te maken voor de nieuw toegevoegde tenantorganisaties met behulp van de HDS Setup Tool.
De configuratie van de tenantorganisatie is niet voltooid voor de verwijderde organisaties.	Voltooi de installatie door de CMK's in te trekken van de tenantorganisaties die zijn verwijderd met behulp van de HDS Setup Tool.

Problemen met hybride gegevensbeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybrid Data Security.

1	Meld u aan bij Partner Hub.
2	Selecteer in het menu aan de linkerkant van het scherm Services.
3	In het gedeelte Hybride vindt u Hybride gegevensbeveiliging en klikt u op Gebeurtenissen.
4	Bekijk de pagina met de gebeurtenisgeschiedenis op eventuele waarschuwingen en los de problemen op die u daar aantreft. Zie onderstaande afbeelding ter referentie.
5	Controleer de uitvoer van de syslog-server op activiteit van de Hybrid Data Security-implementatie. Filter op woorden zoals 'Waarschuwing' en 'Fout' om het oplossen van problemen te vergemakkelijken.
6	Neem contact op met Cisco-ondersteuning .

Overige opmerkingen

Bekende problemen met hybride gegevensbeveiliging

Als u al uw actieve Hybrid Data Security-clusters uitschakelt (door ze te verwijderen in Partner Hub of door alle knooppunten uit te schakelen), uw configuratie-ISO-bestand kwijtraakt of de toegang tot de keystore-database verliest, kunnen Webex App-gebruikers van klantorganisaties geen gebruik meer maken van ruimtes in hun Personenlijst die zijn aangemaakt met sleutels uit uw KMS. We hebben momenteel geen oplossing voor dit probleem en raden u dringend aan uw HDS-services niet uit te schakelen zodra deze actieve gebruikersaccounts verwerken.
Een klant die al een ECDH-verbinding met een KMS heeft, behoudt die verbinding gedurende een bepaalde periode (waarschijnlijk een uur).

Voer de HDS Setup-tool uit met Podman Desktop.

Podman is een gratis en open-source tool voor containerbeheer waarmee je containers kunt uitvoeren, beheren en creëren. Podman Desktop kan worden gedownload via https://podman-desktop.io/downloads.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Om er toegang toe te krijgen, download en voer Podman uit op die computer. Voor het installatieproces zijn de aanmeldgegevens van een Control Hub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS Setup-tool in uw omgeving achter een proxy draait, moet u de proxy-instellingen (server, poort, inloggegevens) via Docker-omgevingsvariabelen opgeven bij het starten van de Docker-container in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS-proxy zonder verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP-proxy met verificatie	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS-proxy met verificatie	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Het configuratie-ISO-bestand dat u genereert, bevat de hoofdsleutel waarmee de PostgreSQL- of Microsoft SQL Server-database wordt versleuteld. U hebt de meest recente versie van dit bestand nodig telkens wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Database-inloggegevens
- Certificaatupdates
- Wijzigingen in het autorisatiebeleid
Als u van plan bent databaseverbindingen te versleutelen, configureer dan uw PostgreSQL- of SQL Server-implementatie voor TLS.

Het installatieproces van Hybrid Data Security creëert een ISO-bestand. Vervolgens gebruikt u de ISO om uw Hybrid Data Security-host te configureren.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

De volgende stappen

Volg de resterende stappen in Een configuratie-ISO maken voor de HDS-hosts of De knooppuntconfiguratie wijzigen om een ISO-configuratie te maken of te wijzigen.

Verplaats de bestaande HDS-implementatie voor één tenant van een partnerorganisatie in Control Hub naar een HDS-configuratie voor meerdere tenants in Partner Hub.

De conversie van een bestaande HDS-implementatie met één tenant van een partnerorganisatie, beheerd in Control Hub, naar een HDS-implementatie met meerdere tenants, beheerd in Partner Hub, omvat hoofdzakelijk het deactiveren van de HDS-service in Control Hub, het uitschrijven van knooppunten en het verwijderen van het cluster. Vervolgens kunt u inloggen op Partner Hub, de knooppunten registreren, Multi-Tenant HDS activeren en klanten aan uw cluster toevoegen.

De term "single-tenant" verwijst simpelweg naar een bestaande HDS-implementatie in Control Hub.

Deactiveer HDS, meld knooppunten af en verwijder alle clusters in Control Hub.

1	Meld u aan bij Control Hub. Klik in het linkerpaneel op Hybride. Klik op de Hybrid Data Security-kaart op Instellingen bewerken.
2	Ga op de instellingenpagina naar beneden naar het gedeelte 'Deactiveren' en klik op Deactiveren.
3	Klik na de deactivering op het tabblad Resources.
4	Op de pagina Resources worden de clusters in uw HDS-implementatie weergegeven. Klik op een cluster; er wordt een pagina geopend met alle knooppunten binnen dat cluster.
5	Klik op aan de rechterkant en klik op Knooppunt deregistreren. Herhaal dit proces voor alle knooppunten in het cluster.
6	Als uw implementatie meerdere clusters bevat, herhaal dan stap 4 en stap 5 totdat alle knooppunten zijn afgemeld.
7	Klik op Clusterinstellingen > Verwijderen.
8	Klik op Verwijdering bevestigen om het cluster te deactiveren.
9	Herhaal dit proces voor alle clusters in uw HDS-implementatie. Na de deactivering van HDS, het uitschrijven van knooppunten en het verwijderen van clusters, wordt onderaan de Hybrid Data Service-kaart in Control Hub Setup not completed weergegeven.

Activeer Multi-Tenant HDS voor de partnerorganisatie in Partner Hub en voeg klanten toe.

Voordat u begint

Alle voorwaarden die worden vermeld in Vereisten voor hybride gegevensbeveiliging met meerdere tenants zijn hier van toepassing. Zorg er bovendien voor dat dezelfde database en certificaten worden gebruikt tijdens de migratie naar Multi-Tenant HDS.

1	Log in bij Partner Hub. Klik op Services in het linkerpaneel. Gebruik dezelfde ISO-image als bij uw vorige HDS-implementatie om de knooppunten te configureren. Dit zorgt ervoor dat berichten en content die door gebruikers in de vorige HDS-implementatie zijn gegenereerd, nog steeds toegankelijk zijn in de nieuwe multi-tenantomgeving.
2	In het gedeelte Hybride vindt u de kaart Hybride gegevensbeveiliging en klikt u op Instellen.
3	Klik op de pagina die wordt geopend op Een bron toevoegen.
4	Voer in het eerste veld van de kaart Een cluster maken een naam in voor het cluster waaraan u uw Hybrid Data Security-node wilt toewijzen. We raden aan om een cluster te benoemen op basis van de geografische locatie van de knooppunten in het cluster. Voorbeelden: "San Francisco" of "New York" of "Dallas"
5	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw node in en klik onderaan het scherm op Toevoegen. Dit IP-adres of FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De Hybrid Data Security VM instellen. Er verschijnt een bericht waarin staat dat u uw node kunt registreren bij Webex.
6	Klik op Ga naar knooppunt. Na enkele ogenblikken wordt u doorgestuurd naar de connectiviteitstests voor Webex-services. Als alle tests succesvol zijn, verschijnt de pagina 'Toegang tot hybride gegevensbeveiligingsknooppunt toestaan'. Daar bevestig je dat je je Webex-organisatie toestemming wilt geven om toegang te krijgen tot je node.
7	Vink het selectievakje Toegang tot uw hybride gegevensbeveiligingsknooppunt toestaan aan en klik vervolgens op Doorgaan. Je account is gevalideerd en het bericht "Registratie voltooid" geeft aan dat je node nu is geregistreerd bij Webex Cloud. Op de pagina Hybrid Data Security wordt het nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources. Het apparaat downloadt automatisch de nieuwste software vanuit de cloud.
8	Ga naar het tabblad Instellingen en klik op Activeren op de HDS-statuskaart. Geactiveerde HDS bericht verschijnt onderaan het scherm.
9	Klik op het tabblad Toegewezen klanten.
10	Klik op Klanten toevoegen.
11	Selecteer de klant die u wilt toevoegen in het keuzemenu.
12	Klik op Toevoegen, de klant wordt toegevoegd aan het cluster.
13	Herhaal stap 11 tot en met 13 om meerdere klanten aan uw cluster toe te voegen.
14	Klik op Klaar onderaan het scherm zodra je de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS Setup-tool uit zoals beschreven in Klanthoofdsleutels (CMK's) aanmaken met de HDS Setup-tool om het installatieproces te voltooien.

Gebruik OpenSSL om een PKCS12-bestand te genereren.

Voordat u begint

OpenSSL is een van de tools die gebruikt kan worden om het PKCS12-bestand in het juiste formaat te brengen voor het laden in de HDS Setup Tool. Er zijn andere manieren om dit te doen, en wij ondersteunen of promoten geen enkele methode boven een andere.
Als u ervoor kiest om OpenSSL te gebruiken, bieden we deze procedure aan als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Zorg dat u deze vereisten begrijpt voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel aan.
Start deze procedure zodra u het servercertificaat van uw certificeringsinstantie (CA) ontvangt.

1	Wanneer je het servercertificaat van je CA ontvangt, sla het dan op als `hdsnode.pem`.
2	Toon het certificaat als tekst en controleer de gegevens. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een teksteditor om een certificaatbundelbestand te maken met de naam `hdsnode-bundle.pem`. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de root-CA-certificaten bevatten, in het onderstaande formaat: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand aan met de gebruiksvriendelijke naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te versleutelen, zodat deze in de uitvoer wordt weergegeven. Controleer vervolgens of de privésleutel en het eerste certificaat de regels `friendlyName: kms-private-key`bevatten. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Terug naar Voltooi de voorwaarden voor hybride gegevensbeveiliging. Je gebruikt het hdsnode.p12 bestand en het wachtwoord dat je ervoor hebt ingesteld in Een configuratie-ISO maken voor de HDS-hosts.

Je kunt deze bestanden hergebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-nodes en de cloud.

Uitgaande gegevensverzameling Verkeer

De Hybrid Data Security-nodes sturen bepaalde meetgegevens naar de Webex-cloud. Deze omvatten systeemstatistieken voor maximale heapgrootte, gebruikte heap, CPU-belasting en aantal threads; statistieken over synchrone en asynchrone threads; statistieken over waarschuwingen met betrekking tot een drempelwaarde voor versleutelde verbindingen, latentie of de lengte van de aanvraagwachtrij; statistieken over de datastore; en statistieken over versleutelde verbindingen. De knooppunten versturen versleuteld sleutelmateriaal via een extern kanaal (los van het verzoek).

Inkomend verkeer

De Hybrid Data Security-nodes ontvangen de volgende soorten inkomend verkeer vanuit de Webex-cloud:

Versleutelingsverzoeken van clients, die worden doorgestuurd door de versleutelingsservice.
Upgrades van de node-software

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxies die HTTPS-verkeer inspecteren, kunnen de totstandkoming van websocket-verbindingen (wss:) verstoren die Hybrid Data Security vereist. Deze secties geven richtlijnen voor het configureren van verschillende versies van Squid om wss: -verkeer te negeren voor een correcte werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol -richtlijn toe aan squid.conf:

on_unsupported_protocol tunnel all

Inktvis 3.5.27

We hebben Hybrid Data Security succesvol getest met de volgende regels toegevoegd aan squid.conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en belangrijke fouten die zijn opgelost in de Implementatiehandleiding voor hybride databeveiliging met meerdere tenants.

Datum	Wijzigingen aangebracht
8 januari 2025	Er is een opmerking toegevoegd in Eerste installatie uitvoeren en installatiebestanden downloaden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	Bijgewerkte vereisten voor virtuele host, taakstroom voor implementatie van hybride databeveiliging en installeer de HDS-host-OVA om de nieuwe ESXi 7.0-vereiste weer te geven.
13 december 2024	Eerst gepubliceerd.

Hybride databeveiliging met meerdere tenants deactiveren

Taakstroom voor deactivering van HDS met meerdere tenants

Volg deze stappen om HDS met meerdere tenants volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige partnerbeheerder.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	Trek de CMK's van alle klanten in, zoals vermeld in CMK's van tenants die zijn verwijderd uit HDS intrekken..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partnerhub met een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op ... aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybride databeveiliging en klik op HDS deactiveren op de HDS-statuskaart.

Aan de slag met hybride databeveiliging voor meerdere tenants

Overzicht van hybride databeveiliging met meerdere tenants

Vanaf dag één is gegevensbeveiliging de primaire focus geweest bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end-inhoudscodering, ingeschakeld door clients van de Webex-app die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle klanten van de Webex-app end-to-end-codering met dynamische sleutels die zijn opgeslagen in de cloud-KMS, in de beveiligingsruimte van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Met Hybride databeveiliging voor meerdere tenants kunnen organisaties HDS gebruiken via een vertrouwde lokale partner, die kan optreden als serviceprovider en codering en andere beveiligingsservices op locatie kan beheren. Met deze instelling kan de partnerorganisatie volledige controle hebben over de implementatie en het beheer van coderingssleutels en zorgen ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties stellen HDS-instanties in en maken indien nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties de implementatie en het beheer onder controle hebben, hebben ze geen toegang tot gegevens en inhoud die door klanten zijn gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook HDS gebruiken, omdat sleutelbeheerservice en beveiligingsinfrastructuur zoals datacenters eigendom zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging met meerdere tenants gegevenssoevereiniteit en gegevenscontrole biedt

Door gebruikers gegenereerde inhoud wordt beschermd tegen externe toegang, zoals cloudserviceproviders.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een bestaande relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het instellen en beheren van klanten onder een systeem voor hybride databeveiliging met meerdere tenants.

Rollen in hybride databeveiliging met meerdere tenants

Volledige partnerbeheerder : kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder : kan instellingen beheren voor klanten die door de beheerder zijn ingericht of die aan de gebruiker zijn toegewezen.
Volledige beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end installatie en beheer van alle klantorganisaties met meerdere tenants : volledige partnerbeheerder en volledige beheerdersrechten vereist.
Beheer van toegewezen tenantorganisaties : partnerbeheerders en volledige beheerdersrechten vereist.

Architectuur beveiligingsrealm

De Webex-cloudarchitectuur scheidt verschillende typen services in verschillende realms of vertrouwensdomeinen, zoals hieronder afgebeeld.

Laten we voor meer informatie over hybride databeveiliging eerst naar deze pure cloudcase kijken, waarbij Cisco alle functies in zijn clouddomeinen biedt. De identiteitsservice, de enige plaats waar gebruikers rechtstreeks gecorreleerd kunnen worden met hun persoonlijke informatie, zoals hun e-mailadres, staat logischerwijs en fysiek los van de beveiligingsruimte in datacenter B. Beide staan op hun beurt los van de ruimte waar gecodeerde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker wordt uitgevoerd en is de identiteitsservice geverifieerd. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, worden de volgende stappen uitgevoerd:

De client brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens een sleutel aan om het bericht te coderen. De beveiligde verbinding gebruikt ECDH en de KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt gecodeerd voordat het de client verlaat. De client verzendt deze naar de indexeringsservice, die gecodeerde zoekindexen maakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsservice verzonden voor nalevingscontroles.
Het gecodeerde bericht wordt opgeslagen in de opslagrealm.

Wanneer u hybride databeveiliging implementeert, verplaatst u de functies van de beveiligingsregio (KMS, indexering en naleving) naar uw datacenter op locatie. De andere cloudservices waaruit Webex bestaat (inclusief identiteits- en inhoudsopslag) blijven in de rijken van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen regelmatig de Webex-app gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze is gemaakt door een van uw gebruikers), verzendt uw KMS de sleutel naar de client via een beveiligd ECDH-kanaal. Wanneer een andere organisatie echter eigenaar is van de sleutel voor de ruimte, leidt uw KMS het verzoek naar de Webex-cloud via een afzonderlijk ECDH-kanaal om de sleutel van de juiste KMS op te halen. Vervolgens stuurt u de sleutel terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die op Organisatie A wordt uitgevoerd, valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat dat u wilt gebruiken met uw implementatie van hybride databeveiliging met meerdere tenants.

Verwachtingen voor het implementeren van hybride databeveiliging

Een implementatie van Hybride databeveiliging vereist aanzienlijke inzet en een besef van de risico's die verbonden zijn aan het bezitten van coderingssleutels.

Voor het implementeren van hybride databeveiliging moet u het volgende opgeven:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang die worden beschreven in Uw omgeving voorbereiden.

Volledig verlies van de configuratie-ISO die u voor hybride databeveiliging maakt of de database die u opgeeft, leidt tot het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere gecodeerde gegevens decoderen in de Webex-app. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar is alleen nieuwe inhoud zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een storing van de databaseselectie of een ramp in een datacenter.

Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Installatieproces op hoog niveau

In dit document worden de installatie en het beheer van een implementatie van hybride databeveiliging met meerdere tenants behandeld:

Hybride databeveiliging instellen: dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van hybride databeveiligingssoftware, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan de cluster en het beheren van hun Customer Main Keys (CMK's). Hiermee kunnen alle gebruikers van uw klantorganisaties uw cluster voor hybride databeveiliging gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Uw implementatie van hybride databeveiliging onderhouden: de Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan ondersteuning van niveau één bieden voor deze implementatie en indien nodig contact opnemen met Cisco-ondersteuning. U kunt meldingen op het scherm gebruiken en waarschuwingen op basis van e-mail instellen in Partner Hub.
Algemene waarschuwingen, stappen voor het oplossen van problemen en bekende problemen begrijpen: als u problemen ondervindt met het implementeren of gebruiken van hybride databeveiliging, kan het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen bij het bepalen en oplossen van het probleem.

Implementatiemodel voor hybride databeveiliging

In uw bedrijfsdatacenter implementeert u hybride databeveiliging als een enkele cluster knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces voorzien we u van het OVA-bestand om het virtuele apparaat in te stellen op de door u geleverde VM's. U gebruikt de HDS-setuptool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het cluster voor hybride databeveiliging gebruikt uw opgegeven Syslogd-server en PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS-setuptool.)

Implementatiemodel voor hybride databeveiliging

Het minimum aantal knooppunten dat u in een cluster kunt hebben, is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere knooppunten zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een knooppunt. (De Webex-cloud werkt slechts één knooppunt tegelijk bij.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke gegevensopslag en logboekactiviteit tot dezelfde syslog-server. De knooppunten zelf zijn staatloos en handelen sleutelverzoeken af op ronde-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in Partner Hub. Als u een afzonderlijk knooppunt uit dienst wilt nemen, kunt u de registratie ongedaan maken en later indien nodig opnieuw registreren.

Stand-by-datacenter voor noodherstel

Tijdens de implementatie stelt u een beveiligd stand-by datacenter in. In het geval van een datacenterramp kunt u de implementatie handmatig naar het stand-bydatacenter mislukken.

De databases van de actieve en stand-bydatacenters zijn gesynchroniseerd met elkaar, waardoor de tijd die nodig is om de failover uit te voeren, wordt geminimaliseerd.

De actieve knooppunten voor hybride databeveiliging moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy: de standaard als u het HDS-knooppunt niet gebruikt, stelt u de vertrouwensarchief- en proxyconfiguratie in om een proxy te integreren. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres en hoeven geen wijzigingen te vereisen om te werken met een proxy zonder inspectie. Er is geen certificaat update vereist.
Transparent tunneling of inspecting proxy: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy: met expliciete proxy geeft u de HDS-knooppunten aan welke proxyserver en verificatieschema moeten worden gebruikt. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken.
2. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer.
3. Proxyprotocol: afhankelijk van wat uw proxyserver ondersteunt, kiest u tussen de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Verificatietype: kies uit de volgende verificatietypen:
  - Geen: geen verdere verificatie is vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride databeveiliging met meerdere tenants

Cisco Webex-licentievereisten

Hybride databeveiliging met meerdere tenants implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de functie voor meerdere tenants is ingeschakeld.
Tenantorganisaties: U moet het Pro-pakket voor Cisco Webex Control Hub hebben. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-knooppunten installeert, moet u Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

X.509-certificaatvereisten

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor implementatie van hybride databeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA)	Standaard vertrouwen we de CA's in de lijst met Mozilla (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een CN-domeinnaam (Common Name) die uw implementatie voor hybride databeveiliging identificeert Is geen wildcardcertificaat	De algemene naam hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die overeenkomt met uw organisatie, bijvoorbeeld `hds.bedrijf.com`. De algemene naam mag geen * (jokerteken) bevatten. De algemene naam wordt gebruikt om de knooppunten voor hybride databeveiliging te verifiëren naar Webex-app-clients. Alle knooppunten voor hybride databeveiliging in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met het CN-domein, niet elk domein dat is gedefinieerd in de x.509v3 SAN-velden. Wanneer u een knooppunt met dit certificaat hebt geregistreerd, bieden we geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS #12-bestand Gebruik de beschrijvende naam `kms-private-key` om het certificaat, de privésleutel en eventuele aanvullende certificaten te taggen om te uploaden.	U kunt een conversieprogramma zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS-setuptool uitvoert.

De KMS-software dwingt geen beperkingen op het sleutelgebruik of het uitgebreide sleutelgebruik af. Sommige certificeringsinstanties vereisen dat uitgebreide gebruiksbeperkingen voor elk certificaat worden toegepast, zoals serververificatie. Het is oké om de serververificatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als knooppunten voor hybride databeveiliging in uw cluster instelt, hebben de volgende vereisten:

Ten minste twee afzonderlijke hosts (3 aanbevolen) die zich samen in hetzelfde beveiligde datacenter bevinden
VMware ESXi 7.0 (of hoger) is geïnstalleerd en wordt uitgevoerd.

Als u een eerdere versie van ESXi hebt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale harde schijfruimte per server

Vereisten voor databaseserver

Maak een nieuwe database voor sleutelopslag. Gebruik de standaarddatabase niet. De HDS-toepassingen maken na installatie het databaseschema.

Er zijn twee opties voor databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor databaseserver per type database
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 of 16, geïnstalleerd en actief.	SQL Server 2016, 2017 of 2019 (Enterprise of Standaard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en cumulatieve update 2 of hoger.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL-server

Postgres JDBC driver 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover-clusterinstanties en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-verificatie met Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-verificatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, de Active Directory-infrastructuur en MS SQL Server moeten allemaal worden gesynchroniseerd met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees- en schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het exemplaar van de HDS-database op uw Microsoft SQL-server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een hoofdnaam voor de service registreren voor Kerberos-verbindingen.

De HDS-setuptool, HDS-launcher en lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de details uit uw ISO-configuratie om de SPN te maken wanneer ze toegang aanvragen met Kerberos-verificatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit voor de HDS-toepassingen toe te staan:

Toepassing	Protocol	Poort	Richting vanuit app	Bestemming
Knooppunten voor hybride databeveiliging	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die voor hybride databeveiliging worden vermeld in de tabel Aanvullende URL's voor hybride Webex-services met Netwerkvereisten voor Webex-services
HDS-setuptool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De knooppunten voor hybride databeveiliging werken met NAT (Network Access Translation) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen met de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die inkomend naar de knooppunten voor hybride databeveiliging gaan, mogen er geen poorten zichtbaar zijn vanaf internet. In uw datacenter hebben clients toegang nodig tot de knooppunten voor hybride databeveiliging op TCP-poorten 443 en 22 voor administratieve doeleinden.

De URL's voor de Common Identity-hosts (CI) zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	URL's van host van algemene identiteit
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren. Zie Squid-proxy's configureren voor hybride databeveiliging om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, kunt u het probleem oplossen door het verkeer niet te controleren op wbx2.com en ciscospark.com .

Voldoen aan de vereisten voor hybride databeveiliging

Gebruik deze controlelijst om ervoor te zorgen dat u klaar bent om uw cluster voor hybride databeveiliging te installeren en te configureren.

1	Zorg ervoor dat uw partnerorganisatie de functie Multi-tenant HDS heeft ingeschakeld en haal de referenties op van een account met volledige partnerbeheerder en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor het Pro-pakket voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u instelt als knooppunten voor hybride databeveiliging in uw cluster. U hebt minimaal twee afzonderlijke hosts (3 aanbevolen) nodig die samen in hetzelfde beveiligde datacenter staan en die voldoen aan de vereisten in Vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die fungeert als de belangrijkste gegevensopslag voor het cluster, volgens de Vereisten van de databaseserver. De databaseserver moet in het beveiligde datacenter samen met de virtuele hosts worden geplaatst. Maak een database voor sleutelopslag. (U moet deze database maken. Gebruik niet de standaarddatabase. De HDS-toepassingen maken na installatie het databaseschema.) Verzamel de details die de knooppunten gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor snel noodherstel stelt u een back-upomgeving in een ander datacenter in. De back-upomgeving weerspiegelt de productieomgeving van VM's en een back-updatabaseserver. Als de productie bijvoorbeeld 3 VM's heeft waarop HDS-knooppunten worden uitgevoerd, moet de back-upomgeving 3 VM's hebben.
6	Stel een syslog-host in om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Maak een beveiligd back-upbeleid voor de knooppunten voor hybride databeveiliging, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de knooppunten voor hybride databeveiliging. Omdat de knooppunten voor hybride databeveiliging de sleutels opslaan die voor het coderen en decoderen van inhoud worden gebruikt, zal het niet onderhouden van een operationele implementatie leiden tot ONHERSTELBAAR VERLIES van die inhoud. Webex-app-clients slaan hun sleutels in het cachegeheugen, dus een storing is mogelijk niet direct merkbaar, maar wordt na verloop van tijd duidelijk. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Een volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-configuratiebestand zal echter resulteren in onherstelbare klantgegevens. Van de operatoren van de knooppunten voor hybride databeveiliging wordt verwacht dat ze frequente back-ups van de database en het ISO-configuratiebestand bijhouden en dat ze voorbereid zijn om het datacenter voor hybride databeveiliging opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit voor uw knooppunten voor hybride databeveiliging mogelijk maakt, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bits, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, waarmee de lokale configuratiegegevens voor alle knooppunten voor hybride databeveiliging worden opgebouwd. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Vereisten voor Docker-desktops voor meer informatie. Als u de HDS-setuptool wilt installeren en uitvoeren, moet de lokale machine de verbinding hebben die wordt beschreven in Vereisten voor externe connectiviteit.
10	Als u een proxy integreert met hybride databeveiliging, moet u controleren of deze voldoet aan de vereisten voor de proxyserver.

Een cluster voor hybride databeveiliging instellen

Taakstroom implementatie hybride databeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download installatiebestanden Download het OVA-bestand naar uw lokale machine voor later gebruik.
2	Een configuratie-ISO voor de HDS-hosts maken Gebruik de HDS-setuptool om een ISO-configuratiebestand te maken voor de knooppunten voor hybride databeveiliging.
3	De HDS-host-OVA installeren Maak een virtuele machine met het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	VM voor hybride databeveiliging instellen Meld u aan bij de VM-console en stel de aanmeldgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.
5	De HDS-configuratie-ISO uploaden en koppelen Configureer de VM vanuit het ISO-configuratiebestand dat u hebt gemaakt met de HDS-setuptool.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geeft u het type proxy op dat u voor het knooppunt wilt gebruiken en voegt u het proxycertificaat indien nodig toe aan de vertrouwensopslag.
7	Het eerste knooppunt in het cluster registreren Registreer de VM bij de Cisco Webex-cloud als knooppunt voor hybride databeveiliging.
8	Meer knooppunten maken en registreren Voltooi de clustersetup.
9	Activeer HDS met meerdere tenants in Partner Hub. Activeer HDS en beheer tenantorganisaties in Partner Hub.

Voer de eerste installatie uit en download installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u instelt als knooppunten voor hybride databeveiliging). U kunt dit bestand later in het installatieproces gebruiken.

1	Meld u aan bij Partnerhub en klik vervolgens op Services.
2	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik vervolgens op Instellen. Het is essentieel voor het implementatieproces te klikken op Instellen in Partnerhub. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een resource toevoegen en klik op OVA-bestand downloaden op de kaart Software installeren en configureren . Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades voor hybride databeveiliging. Dit kan leiden tot problemen tijdens het upgraden van de toepassing. Zorg ervoor dat u de meest recente versie van het OVA-bestand downloadt. U kunt de OVA ook op elk moment downloaden via het gedeelte Help . Klik op Instellingen > Help > Software voor hybride databeveiliging downloaden. Het downloaden van het OVA-bestand wordt automatisch gestart. Sla het bestand op een locatie op uw computer op.
4	U kunt ook op Implementatiegids voor hybride databeveiliging bekijken klikken om te controleren of er een nieuwere versie van deze handleiding beschikbaar is.

Een configuratie-ISO voor de HDS-hosts maken

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige beheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT

HTTPS-proxy zonder verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT

HTTP-proxy met verificatie

GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT

HTTPS-proxy met verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stabiel

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stabiel

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost, http://127.0.0.1:8080, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in.

Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.

7

Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.

8

Klik op de overzichtspagina van de setuptool op Aan de slag.

9

Op de pagina ISO-import hebt u de volgende opties:

Nee: als u uw eerste HDS-knooppunt maakt, hebt u geen ISO-bestand om te uploaden.
Ja: als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de blader en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als u nog nooit eerder een certificaat hebt geüpload, uploadt u het X.509-certificaat, voert u het wachtwoord in en klikt u op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat is verlopen of u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account in voor HDS om toegang te krijgen tot uw belangrijke gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u Microsoft SQL Server kiest, wordt het veld Verificatietype weergegeven.
(Alleen Microsoft SQL-server ) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam .
- Windows-verificatie: U hebt een Windows-account nodig met de indeling gebruikersnaam@DOMEIN in het veld Gebruikersnaam .
Voer het adres van de databaseserver in de vorm : of : in.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

U kunt een IP-adres gebruiken voor basisverificatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de Databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
Voorkeur geven aan TLS (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS op de databaseserver inschakelt, proberen de knooppunten een gecodeerde verbinding.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databashost en poort . De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het hoofdcertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS-setuptool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege verbindingsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de machine van de HDS-setuptool deze niet kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet door het DNS kan worden omgezet vanaf de knooppunten voor uw HDS-cluster, gebruikt u een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 geeft aan dat u zich aanmeldt bij de Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat deze TLS-codering gebruikt, schakelt u het selectievakje Is uw syslog-server geconfigureerd voor SSL-codering? in.

Als u dit selectievakje inschakelt, moet u een TCP-URL zoals tcp://10.92.43.23:514 invoeren.
Kies in de vervolgkeuzelijst Syslog-record beëindigen kiezen de juiste instelling voor uw ISO-bestand: Kiezen of nieuwe lijn wordt gebruikt voor Graylog en Rsyslog TCP
- Null byte -- \x00
- Regeleinde -- \n: selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige parameters voor databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxGrootte: 10

15

Klik op Doorgaan in het scherm Wachtwoord voor serviceaccounts herstellen .

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen of u ze wilt herstellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een eenvoudig te vinden locatie op.

17

Maak een back-up van het ISO-bestand op uw lokale systeem.

Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.

18

Als u de setuptool wilt afsluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het ISO-configuratiebestand. U hebt deze nodig om meer knooppunten te maken voor herstel of om configuratiewijzigingen aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels te herstellen van uw PostgreSQL- of Microsoft SQL Server-database.

We hebben nooit een kopie van deze sleutel en kunnen niet helpen als u deze verliest.

De HDS-host-OVA installeren

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Een naam en map selecteren voert u een naam van de virtuele machine in voor het knooppunt (bijvoorbeeld 'HDS_Node_1'), kiest u een locatie waar de implementatie van het knooppunt van de virtuele machine zich kan bevinden en klikt u op Volgende.
5	Kies op de pagina Een rekenresource selecteren de bestemming van de rekenresource en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het is voltooid, worden de sjabloongegevens weergegeven.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de resourceneconfiguratie op de pagina Configuratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren op Volgende om het standaard schijfindeling en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie in de lijst met vermeldingen om de gewenste verbinding met de VM te bieden.
10	Configureer de volgende netwerkinstellingen op de pagina Sjabloon aanpassen : Hostnaam: voer de FQDN (hostnaam en domein) of een enkele woord hostnaam voor het knooppunt in. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Gebruik alleen kleine letters in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld om een succesvolle registratie bij de cloud te garanderen. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres: voer het IP-adres in voor de interne interface van het knooppunt. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund. Masker: voer het adres van het subnetmasker in puntdecimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway: voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dienst doet als een toegangspunt naar een ander netwerk. DNS-servers: voer een door komma's gescheiden lijst in met DNS-servers die domeinnamen naar numerieke IP-adressen vertalen. (Er zijn maximaal 4 DNS-vermeldingen toegestaan.) NTP-servers: voer de NTP-server van uw organisatie of een andere externe NTP-server in die voor uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster voor administratieve doeleinden bereikbaar zijn vanaf clients in uw netwerk. Indien gewenst kunt u de configuratie van de netwerkinstelling overslaan en de stappen volgen in De VM voor hybride databeveiliging instellen om de instellingen te configureren vanuit de knooppuntconsole. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op het knooppunt VM en kies Aan/uit > Inschakelen. De software voor hybride databeveiliging wordt als gast geïnstalleerd op de VM-host. U bent nu klaar om u aan te melden bij de console en het knooppunt te configureren. Tips voor probleemoplossing U kunt een vertraging van enkele minuten ervaren voordat de knooppuntcontainers omhoog komen. Tijdens de eerste keer opstarten verschijnt een bridge-firewallbericht op de console, waarbij u zich niet kunt aanmelden.

VM voor hybride databeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het knooppunt voor hybride databeveiliging en om de aanmeldgegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.

1	Selecteer in de VMware vSphere-client de VM van uw knooppunt voor hybride databeveiliging en het tabblad Console . De VM wordt opgestart en er wordt een aanmeldprompt weergegeven. Als de aanmeldingsprompt niet wordt weergegeven, drukt u op Enter.
2	Gebruik de volgende standaardaanmeldgegevens en -wachtwoorden om u aan te melden en de aanmeldgegevens te wijzigen: Aanmelden: `beheer` Wachtwoord: `Cisco` Aangezien u zich voor de eerste keer bij uw VM aanmeldt, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in De HDS-host-OVA installeren, slaat u de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken .
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig indien nodig de hostnaam, het domein of de NTP-server(s) om overeen te stemmen met uw netwerkbeleid. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen worden doorgevoerd.

De HDS-configuratie-ISO uploaden en koppelen

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u hebt gemaakt met de HDS-setuptool.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op een 'need to know'-basis, voor toegang door de VM's van hybride databeveiliging en alle beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen deze beheerders toegang hebben tot de gegevensopslag.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkerdeelvenster van de VMware vSphere-client op de ESXi-server.
Klik op de lijst Hardware van het tabblad Configuratie op Opslag.
Klik in de lijst Gegevensopslag met de rechtermuisknop op de gegevensopslag voor uw VM's en klik op Gegevensopslag bladeren.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand op uw computer hebt gedownload en klik op Openen.
Klik op Ja om de waarschuwing voor het uploaden/downloaden te accepteren en sluit het dialoogvenster Gegevensopslag.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te koppelen vanuit een ISO-bestand van de gegevensopslag en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Schakel Verbonden en Verbinding maken na inschakelen in.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

De volgende stappen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand loskoppelen nadat al uw knooppunten de configuratiewijzigingen hebben opgehaald. Zie (optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de installatie-URL van het HDS-knooppunt `https://[HDS node IP of FQDN]/Setup` in een webbrowser in, voer de beheerders gegevens in die u hebt ingesteld voor het knooppunt en klik vervolgens op aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy: de standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparent Non-Inspecting Proxy: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken en mogen geen wijzigingen vereisen om te werken met een niet-inspecterende proxy. Er is geen certificaat update vereist. Proxy transparant inspecteren: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy: met expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt en deze optie ondersteunt verschillende verificatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer. Proxyprotocol: kies http (toont en beheert alle verzoeken die zijn ontvangen van de client) of https (biedt een kanaal naar de server en de client ontvangt en valideert het servercertificaat). Kies een optie op basis van wat uw proxyserver ondersteunt. Verificatietype: kies uit de volgende verificatietypen: Geen: geen verdere verificatie is vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, voert u deze stappen uit en ziet u vervolgens Modus voor geblokkeerde externe DNS-resolutie uitschakelen.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Het eerste knooppunt in het cluster registreren

Bij deze taak wordt het algemene knooppunt gebruikt dat u hebt gemaakt in De VM voor hybride databeveiliging instellen, wordt het knooppunt geregistreerd bij de Webex-cloud en wordt het omgezet in een knooppunt voor hybride databeveiliging.

Wanneer u uw eerste knooppunt registreert, maakt u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn geïmplementeerd voor redundantie.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een resource toevoegen.
5	Voer in het eerste veld van de kaart Een knooppunt toevoegen een naam in voor het cluster waaraan u uw knooppunt voor hybride databeveiliging wilt toewijzen. We raden u aan een cluster een naam te geven op basis van de plaats waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: "San Francisco", "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw knooppunt in en klik op Toevoegen onderaan het scherm. Dit IP-adres of de FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De VM voor hybride databeveiliging instellen. Er wordt een bericht weergegeven dat aangeeft dat u uw knooppunt kunt registreren bij de Webex.
7	Klik op Naar knooppunt gaan. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw Webex-organisatie voor toegang tot uw knooppunt.
8	Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud.
9	Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Op de pagina Hybride databeveiliging wordt de nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources . Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten maken en registreren

Om extra knooppunten aan uw cluster toe te voegen, maakt u extra VM's en koppelt u hetzelfde ISO-configuratiebestand. Vervolgens registreert u het knooppunt. We raden aan dat u minimaal 3 knooppunten hebt.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine van de OVA en herhaal de stappen in De HDS-host-OVA installeren.
2	Stel de eerste configuratie in op de nieuwe VM en herhaal de stappen in De VM voor hybride databeveiliging instellen.
3	Herhaal op de nieuwe VM de stappen in De HDS-configuratie-ISO uploaden en koppelen.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Het HDS-knooppunt configureren voor proxyintegratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. Selecteer in https://admin.webex.comServices in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Alles weergeven. De pagina Resources hybride databeveiliging wordt weergegeven. Het nieuwe cluster wordt weergegeven op de pagina Resources . Klik op het cluster om de knooppunten weer te geven die aan het cluster zijn toegewezen. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam van uw knooppunt in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw knooppunt kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw organisatie voor toegang tot uw knooppunt. Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud. Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Het pop-upbericht Knooppunt toegevoegd wordt ook onderaan het scherm in Partnerhub weergegeven. Uw knooppunt is geregistreerd.

Tenantorganisaties beheren voor hybride databeveiliging met meerdere tenants

HDS met meerdere tenants activeren in Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor lokale coderingssleutels en andere beveiligingsservices.

Voordat u begint

Zorg ervoor dat u het instellen van uw HDS-cluster met meerdere tenants hebt voltooid met het vereiste aantal knooppunten.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken.
4	Klik op HDS activeren op de kaart HDS-status .

Tenantorganisaties toevoegen in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw cluster voor hybride databeveiliging.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het cluster waaraan u wilt dat een klant wordt toegewezen.
5	Ga naar het tabblad Toegewezen klanten .
6	Klik op Klanten toevoegen.
7	Selecteer de klant die u wilt toevoegen in het vervolgkeuzemenu.
8	Klik op Toevoegen. De klant wordt aan het cluster toegevoegd.
9	Herhaal stap 6 tot en met 8 om meerdere klanten aan uw cluster toe te voegen.
10	Klik op Gereed onderaan het scherm zodra u de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS-setuptool uit zoals beschreven in Hoofdsleutels voor klanten maken (CMK's) met de HDS-setuptool om het setupproces te voltooien.

Hoofdsleutels voor de klant maken met de HDS-setuptool

Voordat u begint

Wijs klanten toe aan het juiste cluster zoals beschreven in Tenantorganisaties toevoegen in Partner Hub. Voer de HDS-setuptool uit om het setupproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg ervoor dat u verbinding hebt met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK maken voor alle organisaties of CMK maken : klik op deze knop in de banner bovenaan het scherm om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op ... in de buurt van de status CMK-beheer in behandeling van een specifieke organisatie in de tabel en klik op CMK maken om CMK voor die organisatie te maken.
12	Wanneer het maken van CMK is gelukt, verandert de status in de tabel van CMK-beheer in behandeling in CMK beheerd.
13	Als het maken van CMK is mislukt, wordt een fout weergegeven.

Tenantorganisaties verwijderen

Voordat u begint

Na het verwijderen, kunnen gebruikers van klantorganisaties HDS niet meer gebruiken voor hun coderingsbehoeften en verliezen alle bestaande ruimten. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het tabblad Resources op het cluster waarvan u klantorganisaties wilt verwijderen.
5	Klik op de pagina die wordt geopend op Toegewezen klanten.
6	Klik in de lijst met klantorganisaties die worden weergegeven op ... aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken, zoals beschreven in CMK's van tenants die zijn verwijderd uit HDS intrekken.

CMK's van tenants die zijn verwijderd uit HDS intrekken.

Voordat u begint

Verwijder klanten uit het juiste cluster zoals beschreven in Tenantorganisaties verwijderen. Voer de HDS-setuptool uit om het verwijderingsproces voor de klantorganisaties die zijn verwijderd te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's intrekken om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op ... in de buurt van de CMK die moet worden ingetrokken status van een specifieke organisatie in de tabel en klik op CMK intrekken om CMK voor die specifieke organisatie in te trekken.
12	Wanneer CMK-intrekking is gelukt, wordt de klantorganisatie niet meer in de tabel weergegeven.
13	Als de CMK-intrekking mislukt, wordt een fout weergegeven.

Uw implementatie voor hybride databeveiliging testen

Uw implementatie van hybride databeveiliging testen

Gebruik deze procedure om coderingsscenario's voor hybride databeveiliging met meerdere tenants te testen.

Voordat u begint

Stel uw implementatie voor hybride databeveiliging met meerdere tenants in.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken naar uw implementatie van hybride databeveiliging met meerdere tenants worden doorgegeven.

1

Sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte.

Als u de implementatie voor hybride databeveiliging deactiveert, is inhoud in ruimten die gebruikers maken niet meer toegankelijk zodra de kopieën in de cache van de client van de coderingssleutels zijn vervangen.

2

Verzend berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de sleutelverzoeken naar uw implementatie voor hybride databeveiliging gaan.

Als u wilt controleren of een gebruiker eerst een beveiligd kanaal naar de KMS instelt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION:

U vindt een vermelding als het volgende (identifiers shortened for readability):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_SLEUTEL_VERZAMELING, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Als u wilt controleren of een gebruiker een bestaande sleutel van de KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuw KMS Resource Object (KRO) aanvraagt wanneer een omgeving of andere beschermde resource wordt gemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Hybride databeveiliging controleren

Een statusindicator in Partnerhub geeft aan of alles in orde is met de implementatie van hybride databeveiliging met meerdere tenants. Als u proactief belt, meldt u zich aan voor e-mailmeldingen. U wordt geïnformeerd wanneer er alarmen of software-upgrades zijn die invloed hebben op de service.

1	Selecteer in Partnerhub de optie Services in het menu aan de linkerkant van het scherm.
2	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken. De pagina Instellingen hybride databeveiliging wordt weergegeven.
3	Typ in het gedeelte E-mailmeldingen een of meer door komma's gescheiden e-mailadressen en druk op Enter.

Uw HDS-implementatie beheren

HDS-implementatie beheren

Gebruik de taken die hier worden beschreven om uw implementatie van hybride databeveiliging te beheren.

Planning van clusterupgrade instellen

Software-upgrades voor hybride databeveiliging worden automatisch op clusterniveau uitgevoerd, wat ervoor zorgt dat alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens de upgradeplanning voor het cluster. Wanneer een software-upgrade beschikbaar wordt, hebt u de optie het cluster handmatig vóór het geplande tijdstip van de upgrade te upgraden. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken van 3:00 uur Dagelijks in de Verenigde Staten: Amerika/Los Angeles. U kunt er ook voor kiezen om een aankomende upgrade uit te stellen, indien nodig.

De upgradeplanning instellen:

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices hybride databeveiliging en klik op Instellen
4	Selecteer het cluster op de pagina Resources hybride databeveiliging.
5	Klik op het tabblad Clusterinstellingen .
6	Selecteer op de pagina Clusterinstellingen bij Upgradeplanning de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone worden de volgende beschikbare upgradedatum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door op 24 uur uitstellen te klikken.

De knooppuntconfiguratie wijzigen

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset: de oude en nieuwe wachtwoorden werken beide maximaal 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset: de oude wachtwoorden werken niet direct meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige partnerbeheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container in 1.e opent. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de klant van uw Partnerhub in en klikt u vervolgens op Accepteren om door te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Als u de setuptool wilt afsluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als slechts één HDS-knooppunt wordt uitgevoerd, maakt u een nieuwe VM voor hybride databeveiliging en registreert u deze met het nieuwe ISO-configuratiebestand. Zie Meer knooppunten maken en registreren voor meer gedetailleerde instructies. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partnerhub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD-station 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe ISO-configuratiebestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het knooppunt voor hybride databeveiliging (IP-adres/setup, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersreferenties in die u voor het knooppunt instelt en klik vervolgens op Aanmelden.
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, wordt de geblokkeerde externe DNS-omzetting ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een knooppunt voor hybride databeveiliging te verwijderen uit de Webex-cloud. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host en schakel de virtuele machine uit.

2

Verwijder het knooppunt:

Meld u aan bij Partnerhub en selecteer Services.
Klik op de kaart Hybride databeveiliging op Alles weergeven om de pagina Resources hybride databeveiliging weer te geven.
Selecteer uw cluster om het deelvenster Overzicht weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Dit knooppunt afmelden in het deelvenster dat aan de rechterkant wordt weergegeven
U kunt de registratie van het knooppunt ook ongedaan maken door te klikken op … aan de rechterkant van het knooppunt en Dit knooppunt verwijderen te selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkerdeelvenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als u de VM niet verwijdert, vergeet dan niet om het ISO-configuratiebestand te ontkoppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken voor toegang tot uw beveiligingsgegevens.

Noodherstel met behulp van stand-bydatacenter

De meest kritieke service die uw cluster voor hybride databeveiliging biedt, is het maken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die is opgeslagen in de Webex-cloud te coderen. Voor elke gebruiker in de organisatie die is toegewezen aan hybride databeveiliging, worden aanvragen voor het maken van nieuwe sleutels naar het cluster gerouteerd. Het cluster is ook verantwoordelijk voor het retourneren van de gemaakte sleutels aan alle gebruikers die bevoegd zijn om deze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de kritieke functie uitvoert voor het leveren van deze sleutels, is het absoluut noodzakelijk dat het cluster blijft draaien en dat de juiste back-ups worden onderhouden. Verlies van de database voor hybride databeveiliging of van de configuratie-ISO die voor het schema wordt gebruikt, leidt tot ONHERSTELBAAR VERLIES van klantinhoud. Om dergelijk verlies te voorkomen, zijn de volgende praktijken verplicht:

Als de HDS-implementatie in het primaire datacenter niet beschikbaar wordt door een ramp, volgt u deze procedure om handmatig failover naar het stand-bydatacenter te maken.

Voordat u begint

De registratie van alle knooppunten van Partnerhub ongedaan maken, zoals vermeld in Een knooppunt verwijderen. Gebruik het nieuwste ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat eerder actief was, om de hieronder vermelde failoverprocedure uit te voeren.

1	Start de HDS-setuptool en volg de stappen die worden vermeld in Een configuratie-ISO voor de HDS-hosts maken.
2	Voltooi het configuratieproces en sla het ISO-bestand op een eenvoudig te vinden locatie op.
3	Maak een back-up van het ISO-bestand op uw lokale systeem. Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.
4	Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
5	Klik op Instellingen bewerken >CD/DVD-station 1 en selecteer ISO-gegevensopslagbestand. Zorg ervoor dat Verbonden en Verbinding maken bij inschakelen zijn ingeschakeld, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden nadat de knooppunten zijn gestart.
6	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
7	Registreer het knooppunt in Partnerhub. Raadpleeg Het eerste knooppunt in het cluster registreren.
8	Herhaal het proces voor elk knooppunt in het stand-bydatacenter.

De volgende stappen

Als het primaire datacenter na failover weer actief wordt, verwijdert u de registratie van de knooppunten van het stand-bydatacenter en herhaalt u het proces van configuratie van de ISO en registratie van de knooppunten van het primaire datacenter, zoals hierboven vermeld.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie wordt uitgevoerd met de aangekoppelde ISO. Sommige klanten geven er echter de voorkeur aan dat ISO-bestanden niet continu worden gekoppeld. U kunt het ISO-bestand loskoppelen nadat alle HDS-knooppunten de nieuwe configuratie hebben opgehaald.

U gebruikt nog steeds de ISO-bestanden om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO maakt of een ISO bijwerkt via de setuptool, moet u de bijgewerkte ISO op al uw HDS-knooppunten koppelen. Zodra alle knooppunten de configuratiewijzigingen hebben opgehaald, kunt u de ISO opnieuw loskoppelen met deze procedure.

Voordat u begint

Upgrade al uw HDS-knooppunten naar versie 2021.01.22.4720 of hoger.

1	Sluit een van uw HDS-knooppunten af.
2	Selecteer het HDS-knooppunt in het vCenter Server Appliance.
3	Kies Instellingen bewerken > CD/DVD-station en schakel ISO-gegevensopslagbestand uit.
4	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 20 minuten geen alarmen zijn.
5	Herhaal om de beurt voor elk HDS-knooppunt.

Problemen met hybride databeveiliging oplossen

Waarschuwingen weergeven en problemen oplossen

Een implementatie van Hybride databeveiliging wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn of als de cluster zo langzaam werkt dat een time-out wordt aangevraagd. Als gebruikers uw cluster voor hybride databeveiliging niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe ruimten worden gemaakt (kan geen nieuwe sleutels maken)
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers die aan een ruimte zijn toegevoegd (kunnen geen sleutels ophalen)
- Bestaande gebruikers in een ruimte met een nieuwe client (kunnen geen sleutels ophalen)
Bestaande gebruikers in een ruimte blijven succesvol draaien zolang hun clients een cache van de coderingssleutels hebben

Het is belangrijk dat u uw cluster voor hybride databeveiliging goed controleert en alle waarschuwingen onmiddellijk adresseert om onderbreking van de service te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van hybride databeveiliging, geeft Partnerhub waarschuwingen weer aan de organisatiebeheerder en verzendt u e-mails naar het geconfigureerde e-mailadres. De waarschuwingen behandelen veel algemene scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om deze op te lossen
Waarschuwen	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met lokale database mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste referenties van het serviceaccount zijn gebruikt in de knooppuntconfiguratie.
Toegang tot cloudservice mislukt.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Vereisten voor externe connectiviteit.
De registratie van cloudservice wordt verlengd.	Registratie bij cloudservices is verbroken. De registratie wordt verlengd.
Registratie van cloudservice verbroken.	Registratie bij cloudservices is beëindigd. Service wordt afgesloten.
Service nog niet geactiveerd.	HDS activeren in Partnerhub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde serviceactiveringsdomein. De meest waarschijnlijke oorzaak is dat de algemene naam van het certificaat onlangs is gewijzigd en nu anders is dan de algemene naam die tijdens de eerste installatie is gebruikt.
Kan niet verifiëren bij cloudservices.	Controleer op de nauwkeurigheid en mogelijke vervaldatum van de referenties van het serviceaccount.
Openen van lokaal keystore-bestand is mislukt.	Controleer op integriteit en wachtwoordnauwkeurigheid in het lokale keystore-bestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Kan statistieken niet plaatsen.	Controleer de toegang van het lokale netwerk tot externe cloudservices.
De map /media/configdrive/hds bestaat niet.	Controleer de ISO-koppelconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om te koppelen bij opnieuw opstarten en of het met succes wordt gekoppeld.
De tenantorganisatie-instellingen zijn niet voltooid voor de toegevoegde organisaties	Voltooi de installatie door CMK's te maken voor nieuw toegevoegde tenantorganisaties met de HDS-setuptool.
De tenantorganisatie is niet voltooid voor de verwijderde organisaties	Voltooi de installatie door CMK's van tenantorganisaties die zijn verwijderd met de HDS-setuptool in te trekken.

Problemen met hybride databeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybride databeveiliging.

1	Controleer Partnerhub voor waarschuwingen en los alle items op die u daar vindt. Zie de afbeelding hieronder ter referentie.
2	Controleer de uitvoer van de Syslog-server voor activiteit van de implementatie van hybride databeveiliging. Filter op woorden als 'Waarschuwing' en 'Fout' om problemen op te lossen.
3	Neem contact op met Cisco-ondersteuning.

Overige opmerkingen

Bekende problemen voor hybride databeveiliging

Als u uw cluster voor hybride databeveiliging afsluit (door deze te verwijderen in Partner Hub of door alle knooppunten te sluiten), uw ISO-configuratiebestand te verliezen of de toegang tot de keystore-database te verliezen, kunnen gebruikers van de Webex-app van klantorganisaties niet langer ruimten gebruiken onder hun lijst Personen die zijn gemaakt met sleutels van uw KMS. We hebben momenteel geen tijdelijke oplossing of oplossing voor dit probleem en we verzoeken u dringend uw HDS-services niet te beëindigen zodra deze actieve gebruikersaccounts afhandelen.
Een client die een bestaande ECDH-verbinding met een KMS heeft, onderhoudt die verbinding gedurende een bepaalde tijd (waarschijnlijk één uur).

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een tool die kan worden gebruikt om het PKCS12-bestand in de juiste indeling te maken voor het laden in de HDS-setuptool. Er zijn andere manieren om dit te doen, en we ondersteunen of promoten de ene weg niet boven de andere.
Als u ervoor kiest OpenSSL te gebruiken, bieden we deze procedure als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Begrijp deze vereisten voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel.
Start deze procedure wanneer u het servercertificaat ontvangt van uw certificerende instantie (CA).

1	Wanneer u het servercertificaat van uw CA ontvangt, slaat u het op als `hdsnode.pem`.
2	Geef het certificaat weer als tekst en verifieer de details. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een tekstverwerker om een certificaatbundelbestand met de naam `hdsnode-bundle.pem` te maken. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de basis-CA-certificaten bevatten in de onderstaande indeling: `----BEGIN CERTIFICATE------ ### Servercertificaat. ### -----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Tussenliggend CA-certificaat. ### ----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Basis CA-certificaat. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand met de beschrijvende naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -naam kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te coderen zodat deze wordt weergegeven in de uitvoer. Controleer vervolgens of de privésleutel en het eerste certificaat de regels bevatten `friendlyName: kms-privésleutel`. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Voer importwachtwoord in: Mac heeft OK Bag Attributes geverifieerd friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Sleutelkenmerken: Voer de PEM-wachtwoordzin in: Verifiëren - Voer de PEM-wachtwoordzin in: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Keer terug naar Aan de vereisten voor hybride databeveiliging voldoen. U gebruikt het bestand hdsnode.p12 en het wachtwoord dat u ervoor hebt ingesteld in Een configuratie-ISO voor de HDS-hosts maken.

U kunt deze bestanden opnieuw gebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-knooppunten en de cloud

Verzamelverkeer uitgaande statistieken

De knooppunten voor hybride databeveiliging verzenden bepaalde statistieken naar de Webex-cloud. Hieronder vallen systeemstatistieken voor max. heap, gebruikte heap, CPU-belasting en threadtelling; statistieken op synchrone en asynchrone threads; statistieken over waarschuwingen met een drempel voor coderingsverbindingen, latentie of een aanvraagwachtrijlengte; statistieken in de gegevensopslag; en statistieken voor coderingsverbinding. De knooppunten verzenden gecodeerd sleutelmateriaal via een out-of-band (afzonderlijk van het verzoek) kanaal.

Inkomend verkeer

De knooppunten voor hybride databeveiliging ontvangen de volgende typen inkomend verkeer van de Webex-cloud:

Coderingsverzoeken van clients, die door de coderingsservice worden gerouteerd
Upgrades van de knooppuntsoftware

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren die vereist zijn voor hybride databeveiliging. Deze secties bevatten leidraden voor het configureren van verschillende versies van inktvis om WSS te negeren: verkeer voor de juiste werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn toe aan squid.conf:

on_unsupported_protocol alles tunnel

Inktvis 3.5.27

De hybride gegevensbeveiliging is getest met de volgende regels die zijn toegevoegd aan inktvis. conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl stap1 at_step SslBump1 acl stap2 at_step SslBump2 acl stap3 at_step SslBump3 ssl_bump bekijk stap1 alle ssl_bump staren stap2 alle ssl_bump bump stap3 alle

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en belangrijke fouten die zijn opgelost in de Implementatiehandleiding voor hybride databeveiliging met meerdere tenants.

Datum	Wijzigingen aangebracht
8 januari 2025	Er is een opmerking toegevoegd in Eerste installatie uitvoeren en installatiebestanden downloaden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	Bijgewerkte vereisten voor virtuele host, taakstroom voor implementatie van hybride databeveiliging en installeer de HDS-host-OVA om de nieuwe ESXi 7.0-vereiste weer te geven.
13 december 2024	Eerst gepubliceerd.

Hybride databeveiliging met meerdere tenants deactiveren

Taakstroom voor deactivering van HDS met meerdere tenants

Volg deze stappen om HDS met meerdere tenants volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige partnerbeheerder.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	Trek de CMK's van alle klanten in, zoals vermeld in CMK's van tenants die zijn verwijderd uit HDS intrekken..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partnerhub met een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op ... aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybride databeveiliging en klik op HDS deactiveren op de HDS-statuskaart.

Aan de slag met hybride databeveiliging voor meerdere tenants

Overzicht van hybride databeveiliging met meerdere tenants

Vanaf dag één is gegevensbeveiliging de primaire focus geweest bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end-inhoudscodering, ingeschakeld door clients van de Webex-app die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle klanten van de Webex-app end-to-end-codering met dynamische sleutels die zijn opgeslagen in de cloud-KMS, in de beveiligingsruimte van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Met Hybride databeveiliging voor meerdere tenants kunnen organisaties HDS gebruiken via een vertrouwde lokale partner, die kan optreden als serviceprovider en codering en andere beveiligingsservices op locatie kan beheren. Met deze instelling kan de partnerorganisatie volledige controle hebben over de implementatie en het beheer van coderingssleutels en zorgen ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties stellen HDS-instanties in en maken indien nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties de implementatie en het beheer onder controle hebben, hebben ze geen toegang tot gegevens en inhoud die door klanten zijn gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook HDS gebruiken, omdat sleutelbeheerservice en beveiligingsinfrastructuur zoals datacenters eigendom zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging met meerdere tenants gegevenssoevereiniteit en gegevenscontrole biedt

Door gebruikers gegenereerde inhoud wordt beschermd tegen externe toegang, zoals cloudserviceproviders.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een bestaande relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het instellen en beheren van klanten onder een systeem voor hybride databeveiliging met meerdere tenants.

Rollen in hybride databeveiliging met meerdere tenants

Volledige partnerbeheerder : kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder : kan instellingen beheren voor klanten die door de beheerder zijn ingericht of die aan de gebruiker zijn toegewezen.
Volledige beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end installatie en beheer van alle klantorganisaties met meerdere tenants : volledige partnerbeheerder en volledige beheerdersrechten vereist.
Beheer van toegewezen tenantorganisaties : partnerbeheerders en volledige beheerdersrechten vereist.

Architectuur beveiligingsrealm

De Webex-cloudarchitectuur scheidt verschillende typen services in verschillende realms of vertrouwensdomeinen, zoals hieronder afgebeeld.

Laten we voor meer informatie over hybride databeveiliging eerst naar deze pure cloudcase kijken, waarbij Cisco alle functies in zijn clouddomeinen biedt. De identiteitsservice, de enige plaats waar gebruikers rechtstreeks gecorreleerd kunnen worden met hun persoonlijke informatie, zoals hun e-mailadres, staat logischerwijs en fysiek los van de beveiligingsruimte in datacenter B. Beide staan op hun beurt los van de ruimte waar gecodeerde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker wordt uitgevoerd en is de identiteitsservice geverifieerd. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, worden de volgende stappen uitgevoerd:

De client brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens een sleutel aan om het bericht te coderen. De beveiligde verbinding gebruikt ECDH en de KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt gecodeerd voordat het de client verlaat. De client verzendt deze naar de indexeringsservice, die gecodeerde zoekindexen maakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsservice verzonden voor nalevingscontroles.
Het gecodeerde bericht wordt opgeslagen in de opslagrealm.

Wanneer u hybride databeveiliging implementeert, verplaatst u de functies van de beveiligingsregio (KMS, indexering en naleving) naar uw datacenter op locatie. De andere cloudservices waaruit Webex bestaat (inclusief identiteits- en inhoudsopslag) blijven in de rijken van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen regelmatig de Webex-app gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze is gemaakt door een van uw gebruikers), verzendt uw KMS de sleutel naar de client via een beveiligd ECDH-kanaal. Wanneer een andere organisatie echter eigenaar is van de sleutel voor de ruimte, leidt uw KMS het verzoek naar de Webex-cloud via een afzonderlijk ECDH-kanaal om de sleutel van de juiste KMS op te halen. Vervolgens stuurt u de sleutel terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die op Organisatie A wordt uitgevoerd, valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat dat u wilt gebruiken met uw implementatie van hybride databeveiliging met meerdere tenants.

Verwachtingen voor het implementeren van hybride databeveiliging

Een implementatie van Hybride databeveiliging vereist aanzienlijke inzet en een besef van de risico's die verbonden zijn aan het bezitten van coderingssleutels.

Voor het implementeren van hybride databeveiliging moet u het volgende opgeven:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang die worden beschreven in Uw omgeving voorbereiden.

Volledig verlies van de configuratie-ISO die u voor hybride databeveiliging maakt of de database die u opgeeft, leidt tot het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere gecodeerde gegevens decoderen in de Webex-app. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar is alleen nieuwe inhoud zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een storing van de databaseselectie of een ramp in een datacenter.

Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Installatieproces op hoog niveau

In dit document worden de installatie en het beheer van een implementatie van hybride databeveiliging met meerdere tenants behandeld:

Hybride databeveiliging instellen: dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van hybride databeveiligingssoftware, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan de cluster en het beheren van hun Customer Main Keys (CMK's). Hiermee kunnen alle gebruikers van uw klantorganisaties uw cluster voor hybride databeveiliging gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Uw implementatie van hybride databeveiliging onderhouden: de Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan ondersteuning van niveau één bieden voor deze implementatie en indien nodig contact opnemen met Cisco-ondersteuning. U kunt meldingen op het scherm gebruiken en waarschuwingen op basis van e-mail instellen in Partner Hub.
Algemene waarschuwingen, stappen voor het oplossen van problemen en bekende problemen begrijpen: als u problemen ondervindt met het implementeren of gebruiken van hybride databeveiliging, kan het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen bij het bepalen en oplossen van het probleem.

Implementatiemodel voor hybride databeveiliging

In uw bedrijfsdatacenter implementeert u hybride databeveiliging als een enkele cluster knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces voorzien we u van het OVA-bestand om het virtuele apparaat in te stellen op de door u geleverde VM's. U gebruikt de HDS-setuptool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het cluster voor hybride databeveiliging gebruikt uw opgegeven Syslogd-server en PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS-setuptool.)

Implementatiemodel voor hybride databeveiliging

Het minimum aantal knooppunten dat u in een cluster kunt hebben, is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere knooppunten zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een knooppunt. (De Webex-cloud werkt slechts één knooppunt tegelijk bij.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke gegevensopslag en logboekactiviteit tot dezelfde syslog-server. De knooppunten zelf zijn staatloos en handelen sleutelverzoeken af op ronde-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in Partner Hub. Als u een afzonderlijk knooppunt uit dienst wilt nemen, kunt u de registratie ongedaan maken en later indien nodig opnieuw registreren.

Stand-by-datacenter voor noodherstel

Tijdens de implementatie stelt u een beveiligd stand-by datacenter in. In het geval van een datacenterramp kunt u de implementatie handmatig naar het stand-bydatacenter mislukken.

De databases van de actieve en stand-bydatacenters zijn gesynchroniseerd met elkaar, waardoor de tijd die nodig is om de failover uit te voeren, wordt geminimaliseerd.

De actieve knooppunten voor hybride databeveiliging moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy: de standaard als u het HDS-knooppunt niet gebruikt, stelt u de vertrouwensarchief- en proxyconfiguratie in om een proxy te integreren. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres en hoeven geen wijzigingen te vereisen om te werken met een proxy zonder inspectie. Er is geen certificaat update vereist.
Transparent tunneling of inspecting proxy: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy: met expliciete proxy geeft u de HDS-knooppunten aan welke proxyserver en verificatieschema moeten worden gebruikt. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken.
2. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer.
3. Proxyprotocol: afhankelijk van wat uw proxyserver ondersteunt, kiest u tussen de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Verificatietype: kies uit de volgende verificatietypen:
  - Geen: geen verdere verificatie is vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride databeveiliging met meerdere tenants

Cisco Webex-licentievereisten

Hybride databeveiliging met meerdere tenants implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de functie voor meerdere tenants is ingeschakeld.
Tenantorganisaties: U moet het Pro-pakket voor Cisco Webex Control Hub hebben. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-knooppunten installeert, moet u Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

X.509-certificaatvereisten

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor implementatie van hybride databeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA)	Standaard vertrouwen we de CA's in de lijst met Mozilla (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een CN-domeinnaam (Common Name) die uw implementatie voor hybride databeveiliging identificeert Is geen wildcardcertificaat	De algemene naam hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die overeenkomt met uw organisatie, bijvoorbeeld `hds.bedrijf.com`. De algemene naam mag geen * (jokerteken) bevatten. De algemene naam wordt gebruikt om de knooppunten voor hybride databeveiliging te verifiëren naar Webex-app-clients. Alle knooppunten voor hybride databeveiliging in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met het CN-domein, niet elk domein dat is gedefinieerd in de x.509v3 SAN-velden. Wanneer u een knooppunt met dit certificaat hebt geregistreerd, bieden we geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS #12-bestand Gebruik de beschrijvende naam `kms-private-key` om het certificaat, de privésleutel en eventuele aanvullende certificaten te taggen om te uploaden.	U kunt een conversieprogramma zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS-setuptool uitvoert.

De KMS-software dwingt geen beperkingen op het sleutelgebruik of het uitgebreide sleutelgebruik af. Sommige certificeringsinstanties vereisen dat uitgebreide gebruiksbeperkingen voor elk certificaat worden toegepast, zoals serververificatie. Het is oké om de serververificatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als knooppunten voor hybride databeveiliging in uw cluster instelt, hebben de volgende vereisten:

Ten minste twee afzonderlijke hosts (3 aanbevolen) die zich samen in hetzelfde beveiligde datacenter bevinden
VMware ESXi 7.0 (of hoger) is geïnstalleerd en wordt uitgevoerd.

Als u een eerdere versie van ESXi hebt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale harde schijfruimte per server

Vereisten voor databaseserver

Maak een nieuwe database voor sleutelopslag. Gebruik de standaarddatabase niet. De HDS-toepassingen maken na installatie het databaseschema.

Er zijn twee opties voor databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor databaseserver per type database
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 of 16, geïnstalleerd en actief.	SQL Server 2016, 2017 of 2019 (Enterprise of Standaard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en cumulatieve update 2 of hoger.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL-server

Postgres JDBC driver 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover-clusterinstanties en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-verificatie met Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-verificatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, de Active Directory-infrastructuur en MS SQL Server moeten allemaal worden gesynchroniseerd met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees- en schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het exemplaar van de HDS-database op uw Microsoft SQL-server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een hoofdnaam voor de service registreren voor Kerberos-verbindingen.

De HDS-setuptool, HDS-launcher en lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de details uit uw ISO-configuratie om de SPN te maken wanneer ze toegang aanvragen met Kerberos-verificatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit voor de HDS-toepassingen toe te staan:

Toepassing	Protocol	Poort	Richting vanuit app	Bestemming
Knooppunten voor hybride databeveiliging	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die voor hybride databeveiliging worden vermeld in de tabel Aanvullende URL's voor hybride Webex-services met Netwerkvereisten voor Webex-services
HDS-setuptool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De knooppunten voor hybride databeveiliging werken met NAT (Network Access Translation) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen met de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die inkomend naar de knooppunten voor hybride databeveiliging gaan, mogen er geen poorten zichtbaar zijn vanaf internet. In uw datacenter hebben clients toegang nodig tot de knooppunten voor hybride databeveiliging op TCP-poorten 443 en 22 voor administratieve doeleinden.

De URL's voor de Common Identity-hosts (CI) zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	URL's van host van algemene identiteit
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren. Zie Squid-proxy's configureren voor hybride databeveiliging om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, kunt u het probleem oplossen door het verkeer niet te controleren op wbx2.com en ciscospark.com .

Voldoen aan de vereisten voor hybride databeveiliging

Gebruik deze controlelijst om ervoor te zorgen dat u klaar bent om uw cluster voor hybride databeveiliging te installeren en te configureren.

1	Zorg ervoor dat uw partnerorganisatie de functie Multi-tenant HDS heeft ingeschakeld en haal de referenties op van een account met volledige partnerbeheerder en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor het Pro-pakket voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u instelt als knooppunten voor hybride databeveiliging in uw cluster. U hebt minimaal twee afzonderlijke hosts (3 aanbevolen) nodig die samen in hetzelfde beveiligde datacenter staan en die voldoen aan de vereisten in Vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die fungeert als de belangrijkste gegevensopslag voor het cluster, volgens de Vereisten van de databaseserver. De databaseserver moet in het beveiligde datacenter samen met de virtuele hosts worden geplaatst. Maak een database voor sleutelopslag. (U moet deze database maken. Gebruik niet de standaarddatabase. De HDS-toepassingen maken na installatie het databaseschema.) Verzamel de details die de knooppunten gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor snel noodherstel stelt u een back-upomgeving in een ander datacenter in. De back-upomgeving weerspiegelt de productieomgeving van VM's en een back-updatabaseserver. Als de productie bijvoorbeeld 3 VM's heeft waarop HDS-knooppunten worden uitgevoerd, moet de back-upomgeving 3 VM's hebben.
6	Stel een syslog-host in om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Maak een beveiligd back-upbeleid voor de knooppunten voor hybride databeveiliging, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de knooppunten voor hybride databeveiliging. Omdat de knooppunten voor hybride databeveiliging de sleutels opslaan die voor het coderen en decoderen van inhoud worden gebruikt, zal het niet onderhouden van een operationele implementatie leiden tot ONHERSTELBAAR VERLIES van die inhoud. Webex-app-clients slaan hun sleutels in het cachegeheugen, dus een storing is mogelijk niet direct merkbaar, maar wordt na verloop van tijd duidelijk. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Een volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-configuratiebestand zal echter resulteren in onherstelbare klantgegevens. Van de operatoren van de knooppunten voor hybride databeveiliging wordt verwacht dat ze frequente back-ups van de database en het ISO-configuratiebestand bijhouden en dat ze voorbereid zijn om het datacenter voor hybride databeveiliging opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit voor uw knooppunten voor hybride databeveiliging mogelijk maakt, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bits, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, waarmee de lokale configuratiegegevens voor alle knooppunten voor hybride databeveiliging worden opgebouwd. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Vereisten voor Docker-desktops voor meer informatie. Als u de HDS-setuptool wilt installeren en uitvoeren, moet de lokale machine de verbinding hebben die wordt beschreven in Vereisten voor externe connectiviteit.
10	Als u een proxy integreert met hybride databeveiliging, moet u controleren of deze voldoet aan de vereisten voor de proxyserver.

Een cluster voor hybride databeveiliging instellen

Taakstroom implementatie hybride databeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download installatiebestanden Download het OVA-bestand naar uw lokale machine voor later gebruik.
2	Een configuratie-ISO voor de HDS-hosts maken Gebruik de HDS-setuptool om een ISO-configuratiebestand te maken voor de knooppunten voor hybride databeveiliging.
3	De HDS-host-OVA installeren Maak een virtuele machine met het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	VM voor hybride databeveiliging instellen Meld u aan bij de VM-console en stel de aanmeldgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.
5	De HDS-configuratie-ISO uploaden en koppelen Configureer de VM vanuit het ISO-configuratiebestand dat u hebt gemaakt met de HDS-setuptool.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geeft u het type proxy op dat u voor het knooppunt wilt gebruiken en voegt u het proxycertificaat indien nodig toe aan de vertrouwensopslag.
7	Het eerste knooppunt in het cluster registreren Registreer de VM bij de Cisco Webex-cloud als knooppunt voor hybride databeveiliging.
8	Meer knooppunten maken en registreren Voltooi de clustersetup.
9	Activeer HDS met meerdere tenants in Partner Hub. Activeer HDS en beheer tenantorganisaties in Partner Hub.

Voer de eerste installatie uit en download installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u instelt als knooppunten voor hybride databeveiliging). U kunt dit bestand later in het installatieproces gebruiken.

1	Meld u aan bij Partnerhub en klik vervolgens op Services.
2	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik vervolgens op Instellen. Het is essentieel voor het implementatieproces te klikken op Instellen in Partnerhub. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een resource toevoegen en klik op OVA-bestand downloaden op de kaart Software installeren en configureren . Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades voor hybride databeveiliging. Dit kan leiden tot problemen tijdens het upgraden van de toepassing. Zorg ervoor dat u de meest recente versie van het OVA-bestand downloadt. U kunt de OVA ook op elk moment downloaden via het gedeelte Help . Klik op Instellingen > Help > Software voor hybride databeveiliging downloaden. Het downloaden van het OVA-bestand wordt automatisch gestart. Sla het bestand op een locatie op uw computer op.
4	U kunt ook op Implementatiegids voor hybride databeveiliging bekijken klikken om te controleren of er een nieuwere versie van deze handleiding beschikbaar is.

Een configuratie-ISO voor de HDS-hosts maken

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige beheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT

HTTPS-proxy zonder verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT

HTTP-proxy met verificatie

GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT

HTTPS-proxy met verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stabiel

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stabiel

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost, http://127.0.0.1:8080, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in.

Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.

7

Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.

8

Klik op de overzichtspagina van de setuptool op Aan de slag.

9

Op de pagina ISO-import hebt u de volgende opties:

Nee: als u uw eerste HDS-knooppunt maakt, hebt u geen ISO-bestand om te uploaden.
Ja: als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de blader en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als u nog nooit eerder een certificaat hebt geüpload, uploadt u het X.509-certificaat, voert u het wachtwoord in en klikt u op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat is verlopen of u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account in voor HDS om toegang te krijgen tot uw belangrijke gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u Microsoft SQL Server kiest, wordt het veld Verificatietype weergegeven.
(Alleen Microsoft SQL-server ) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam .
- Windows-verificatie: U hebt een Windows-account nodig met de indeling gebruikersnaam@DOMEIN in het veld Gebruikersnaam .
Voer het adres van de databaseserver in de vorm : of : in.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

U kunt een IP-adres gebruiken voor basisverificatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de Databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
Voorkeur geven aan TLS (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS op de databaseserver inschakelt, proberen de knooppunten een gecodeerde verbinding.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databashost en poort . De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het hoofdcertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS-setuptool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege verbindingsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de machine van de HDS-setuptool deze niet kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet door het DNS kan worden omgezet vanaf de knooppunten voor uw HDS-cluster, gebruikt u een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 geeft aan dat u zich aanmeldt bij de Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat deze TLS-codering gebruikt, schakelt u het selectievakje Is uw syslog-server geconfigureerd voor SSL-codering? in.

Als u dit selectievakje inschakelt, moet u een TCP-URL zoals tcp://10.92.43.23:514 invoeren.
Kies in de vervolgkeuzelijst Syslog-record beëindigen kiezen de juiste instelling voor uw ISO-bestand: Kiezen of nieuwe lijn wordt gebruikt voor Graylog en Rsyslog TCP
- Null byte -- \x00
- Regeleinde -- \n: selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige parameters voor databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxGrootte: 10

15

Klik op Doorgaan in het scherm Wachtwoord voor serviceaccounts herstellen .

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen of u ze wilt herstellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een eenvoudig te vinden locatie op.

17

Maak een back-up van het ISO-bestand op uw lokale systeem.

Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.

18

Als u de setuptool wilt afsluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het ISO-configuratiebestand. U hebt deze nodig om meer knooppunten te maken voor herstel of om configuratiewijzigingen aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels te herstellen van uw PostgreSQL- of Microsoft SQL Server-database.

We hebben nooit een kopie van deze sleutel en kunnen niet helpen als u deze verliest.

De HDS-host-OVA installeren

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Een naam en map selecteren voert u een naam van de virtuele machine in voor het knooppunt (bijvoorbeeld 'HDS_Node_1'), kiest u een locatie waar de implementatie van het knooppunt van de virtuele machine zich kan bevinden en klikt u op Volgende.
5	Kies op de pagina Een rekenresource selecteren de bestemming van de rekenresource en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het is voltooid, worden de sjabloongegevens weergegeven.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de resourceneconfiguratie op de pagina Configuratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren op Volgende om het standaard schijfindeling en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie in de lijst met vermeldingen om de gewenste verbinding met de VM te bieden.
10	Configureer de volgende netwerkinstellingen op de pagina Sjabloon aanpassen : Hostnaam: voer de FQDN (hostnaam en domein) of een enkele woord hostnaam voor het knooppunt in. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Gebruik alleen kleine letters in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld om een succesvolle registratie bij de cloud te garanderen. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres: voer het IP-adres in voor de interne interface van het knooppunt. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund. Masker: voer het adres van het subnetmasker in puntdecimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway: voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dienst doet als een toegangspunt naar een ander netwerk. DNS-servers: voer een door komma's gescheiden lijst in met DNS-servers die domeinnamen naar numerieke IP-adressen vertalen. (Er zijn maximaal 4 DNS-vermeldingen toegestaan.) NTP-servers: voer de NTP-server van uw organisatie of een andere externe NTP-server in die voor uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster voor administratieve doeleinden bereikbaar zijn vanaf clients in uw netwerk. Indien gewenst kunt u de configuratie van de netwerkinstelling overslaan en de stappen volgen in De VM voor hybride databeveiliging instellen om de instellingen te configureren vanuit de knooppuntconsole. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op het knooppunt VM en kies Aan/uit > Inschakelen. De software voor hybride databeveiliging wordt als gast geïnstalleerd op de VM-host. U bent nu klaar om u aan te melden bij de console en het knooppunt te configureren. Tips voor probleemoplossing U kunt een vertraging van enkele minuten ervaren voordat de knooppuntcontainers omhoog komen. Tijdens de eerste keer opstarten verschijnt een bridge-firewallbericht op de console, waarbij u zich niet kunt aanmelden.

VM voor hybride databeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het knooppunt voor hybride databeveiliging en om de aanmeldgegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.

1	Selecteer in de VMware vSphere-client de VM van uw knooppunt voor hybride databeveiliging en het tabblad Console . De VM wordt opgestart en er wordt een aanmeldprompt weergegeven. Als de aanmeldingsprompt niet wordt weergegeven, drukt u op Enter.
2	Gebruik de volgende standaardaanmeldgegevens en -wachtwoorden om u aan te melden en de aanmeldgegevens te wijzigen: Aanmelden: `beheer` Wachtwoord: `Cisco` Aangezien u zich voor de eerste keer bij uw VM aanmeldt, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in De HDS-host-OVA installeren, slaat u de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken .
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig indien nodig de hostnaam, het domein of de NTP-server(s) om overeen te stemmen met uw netwerkbeleid. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen worden doorgevoerd.

De HDS-configuratie-ISO uploaden en koppelen

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u hebt gemaakt met de HDS-setuptool.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op een 'need to know'-basis, voor toegang door de VM's van hybride databeveiliging en alle beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen deze beheerders toegang hebben tot de gegevensopslag.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkerdeelvenster van de VMware vSphere-client op de ESXi-server.
Klik op de lijst Hardware van het tabblad Configuratie op Opslag.
Klik in de lijst Gegevensopslag met de rechtermuisknop op de gegevensopslag voor uw VM's en klik op Gegevensopslag bladeren.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand op uw computer hebt gedownload en klik op Openen.
Klik op Ja om de waarschuwing voor het uploaden/downloaden te accepteren en sluit het dialoogvenster Gegevensopslag.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te koppelen vanuit een ISO-bestand van de gegevensopslag en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Schakel Verbonden en Verbinding maken na inschakelen in.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

De volgende stappen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand loskoppelen nadat al uw knooppunten de configuratiewijzigingen hebben opgehaald. Zie (optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de installatie-URL van het HDS-knooppunt `https://[HDS node IP of FQDN]/Setup` in een webbrowser in, voer de beheerders gegevens in die u hebt ingesteld voor het knooppunt en klik vervolgens op aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy: de standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparent Non-Inspecting Proxy: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken en mogen geen wijzigingen vereisen om te werken met een niet-inspecterende proxy. Er is geen certificaat update vereist. Proxy transparant inspecteren: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy: met expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt en deze optie ondersteunt verschillende verificatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer. Proxyprotocol: kies http (toont en beheert alle verzoeken die zijn ontvangen van de client) of https (biedt een kanaal naar de server en de client ontvangt en valideert het servercertificaat). Kies een optie op basis van wat uw proxyserver ondersteunt. Verificatietype: kies uit de volgende verificatietypen: Geen: geen verdere verificatie is vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, voert u deze stappen uit en ziet u vervolgens Modus voor geblokkeerde externe DNS-resolutie uitschakelen.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Het eerste knooppunt in het cluster registreren

Bij deze taak wordt het algemene knooppunt gebruikt dat u hebt gemaakt in De VM voor hybride databeveiliging instellen, wordt het knooppunt geregistreerd bij de Webex-cloud en wordt het omgezet in een knooppunt voor hybride databeveiliging.

Wanneer u uw eerste knooppunt registreert, maakt u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn geïmplementeerd voor redundantie.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een resource toevoegen.
5	Voer in het eerste veld van de kaart Een knooppunt toevoegen een naam in voor het cluster waaraan u uw knooppunt voor hybride databeveiliging wilt toewijzen. We raden u aan een cluster een naam te geven op basis van de plaats waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: "San Francisco", "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw knooppunt in en klik op Toevoegen onderaan het scherm. Dit IP-adres of de FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De VM voor hybride databeveiliging instellen. Er wordt een bericht weergegeven dat aangeeft dat u uw knooppunt kunt registreren bij de Webex.
7	Klik op Naar knooppunt gaan. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw Webex-organisatie voor toegang tot uw knooppunt.
8	Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud.
9	Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Op de pagina Hybride databeveiliging wordt de nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources . Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten maken en registreren

Om extra knooppunten aan uw cluster toe te voegen, maakt u extra VM's en koppelt u hetzelfde ISO-configuratiebestand. Vervolgens registreert u het knooppunt. We raden aan dat u minimaal 3 knooppunten hebt.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine van de OVA en herhaal de stappen in De HDS-host-OVA installeren.
2	Stel de eerste configuratie in op de nieuwe VM en herhaal de stappen in De VM voor hybride databeveiliging instellen.
3	Herhaal op de nieuwe VM de stappen in De HDS-configuratie-ISO uploaden en koppelen.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Het HDS-knooppunt configureren voor proxyintegratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. Selecteer in https://admin.webex.comServices in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Alles weergeven. De pagina Resources hybride databeveiliging wordt weergegeven. Het nieuwe cluster wordt weergegeven op de pagina Resources . Klik op het cluster om de knooppunten weer te geven die aan het cluster zijn toegewezen. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam van uw knooppunt in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw knooppunt kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw organisatie voor toegang tot uw knooppunt. Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud. Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Het pop-upbericht Knooppunt toegevoegd wordt ook onderaan het scherm in Partnerhub weergegeven. Uw knooppunt is geregistreerd.

Tenantorganisaties beheren voor hybride databeveiliging met meerdere tenants

HDS met meerdere tenants activeren in Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor lokale coderingssleutels en andere beveiligingsservices.

Voordat u begint

Zorg ervoor dat u het instellen van uw HDS-cluster met meerdere tenants hebt voltooid met het vereiste aantal knooppunten.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken.
4	Klik op HDS activeren op de kaart HDS-status .

Tenantorganisaties toevoegen in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw cluster voor hybride databeveiliging.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het cluster waaraan u wilt dat een klant wordt toegewezen.
5	Ga naar het tabblad Toegewezen klanten .
6	Klik op Klanten toevoegen.
7	Selecteer de klant die u wilt toevoegen in het vervolgkeuzemenu.
8	Klik op Toevoegen. De klant wordt aan het cluster toegevoegd.
9	Herhaal stap 6 tot en met 8 om meerdere klanten aan uw cluster toe te voegen.
10	Klik op Gereed onderaan het scherm zodra u de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS-setuptool uit zoals beschreven in Hoofdsleutels voor klanten maken (CMK's) met de HDS-setuptool om het setupproces te voltooien.

Hoofdsleutels voor de klant maken met de HDS-setuptool

Voordat u begint

Wijs klanten toe aan het juiste cluster zoals beschreven in Tenantorganisaties toevoegen in Partner Hub. Voer de HDS-setuptool uit om het setupproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg ervoor dat u verbinding hebt met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK maken voor alle organisaties of CMK maken : klik op deze knop in de banner bovenaan het scherm om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op ... in de buurt van de status CMK-beheer in behandeling van een specifieke organisatie in de tabel en klik op CMK maken om CMK voor die organisatie te maken.
12	Wanneer het maken van CMK is gelukt, verandert de status in de tabel van CMK-beheer in behandeling in CMK beheerd.
13	Als het maken van CMK is mislukt, wordt een fout weergegeven.

Tenantorganisaties verwijderen

Voordat u begint

Na het verwijderen, kunnen gebruikers van klantorganisaties HDS niet meer gebruiken voor hun coderingsbehoeften en verliezen alle bestaande ruimten. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het tabblad Resources op het cluster waarvan u klantorganisaties wilt verwijderen.
5	Klik op de pagina die wordt geopend op Toegewezen klanten.
6	Klik in de lijst met klantorganisaties die worden weergegeven op ... aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken, zoals beschreven in CMK's van tenants die zijn verwijderd uit HDS intrekken.

CMK's van tenants die zijn verwijderd uit HDS intrekken.

Voordat u begint

Verwijder klanten uit het juiste cluster zoals beschreven in Tenantorganisaties verwijderen. Voer de HDS-setuptool uit om het verwijderingsproces voor de klantorganisaties die zijn verwijderd te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's intrekken om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op ... in de buurt van de CMK die moet worden ingetrokken status van een specifieke organisatie in de tabel en klik op CMK intrekken om CMK voor die specifieke organisatie in te trekken.
12	Wanneer CMK-intrekking is gelukt, wordt de klantorganisatie niet meer in de tabel weergegeven.
13	Als de CMK-intrekking mislukt, wordt een fout weergegeven.

Uw implementatie voor hybride databeveiliging testen

Uw implementatie van hybride databeveiliging testen

Gebruik deze procedure om coderingsscenario's voor hybride databeveiliging met meerdere tenants te testen.

Voordat u begint

Stel uw implementatie voor hybride databeveiliging met meerdere tenants in.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken naar uw implementatie van hybride databeveiliging met meerdere tenants worden doorgegeven.

1

Sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte.

Als u de implementatie voor hybride databeveiliging deactiveert, is inhoud in ruimten die gebruikers maken niet meer toegankelijk zodra de kopieën in de cache van de client van de coderingssleutels zijn vervangen.

2

Verzend berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de sleutelverzoeken naar uw implementatie voor hybride databeveiliging gaan.

Als u wilt controleren of een gebruiker eerst een beveiligd kanaal naar de KMS instelt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION:

U vindt een vermelding als het volgende (identifiers shortened for readability):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_SLEUTEL_VERZAMELING, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Als u wilt controleren of een gebruiker een bestaande sleutel van de KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuw KMS Resource Object (KRO) aanvraagt wanneer een omgeving of andere beschermde resource wordt gemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Hybride databeveiliging controleren

Een statusindicator in Partnerhub geeft aan of alles in orde is met de implementatie van hybride databeveiliging met meerdere tenants. Als u proactief belt, meldt u zich aan voor e-mailmeldingen. U wordt geïnformeerd wanneer er alarmen of software-upgrades zijn die invloed hebben op de service.

1	Selecteer in Partnerhub de optie Services in het menu aan de linkerkant van het scherm.
2	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken. De pagina Instellingen hybride databeveiliging wordt weergegeven.
3	Typ in het gedeelte E-mailmeldingen een of meer door komma's gescheiden e-mailadressen en druk op Enter.

Uw HDS-implementatie beheren

HDS-implementatie beheren

Gebruik de taken die hier worden beschreven om uw implementatie van hybride databeveiliging te beheren.

Planning van clusterupgrade instellen

Software-upgrades voor hybride databeveiliging worden automatisch op clusterniveau uitgevoerd, wat ervoor zorgt dat alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens de upgradeplanning voor het cluster. Wanneer een software-upgrade beschikbaar wordt, hebt u de optie het cluster handmatig vóór het geplande tijdstip van de upgrade te upgraden. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken van 3:00 uur Dagelijks in de Verenigde Staten: Amerika/Los Angeles. U kunt er ook voor kiezen om een aankomende upgrade uit te stellen, indien nodig.

De upgradeplanning instellen:

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices hybride databeveiliging en klik op Instellen
4	Selecteer het cluster op de pagina Resources hybride databeveiliging.
5	Klik op het tabblad Clusterinstellingen .
6	Selecteer op de pagina Clusterinstellingen bij Upgradeplanning de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone worden de volgende beschikbare upgradedatum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door op 24 uur uitstellen te klikken.

De knooppuntconfiguratie wijzigen

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset: de oude en nieuwe wachtwoorden werken beide maximaal 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset: de oude wachtwoorden werken niet direct meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige partnerbeheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container in 1.e opent. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de klant van uw Partnerhub in en klikt u vervolgens op Accepteren om door te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Als u de setuptool wilt afsluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als slechts één HDS-knooppunt wordt uitgevoerd, maakt u een nieuwe VM voor hybride databeveiliging en registreert u deze met het nieuwe ISO-configuratiebestand. Zie Meer knooppunten maken en registreren voor meer gedetailleerde instructies. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partnerhub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD-station 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe ISO-configuratiebestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het knooppunt voor hybride databeveiliging (IP-adres/setup, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersreferenties in die u voor het knooppunt instelt en klik vervolgens op Aanmelden.
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, wordt de geblokkeerde externe DNS-omzetting ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een knooppunt voor hybride databeveiliging te verwijderen uit de Webex-cloud. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host en schakel de virtuele machine uit.

2

Verwijder het knooppunt:

Meld u aan bij Partnerhub en selecteer Services.
Klik op de kaart Hybride databeveiliging op Alles weergeven om de pagina Resources hybride databeveiliging weer te geven.
Selecteer uw cluster om het deelvenster Overzicht weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Dit knooppunt afmelden in het deelvenster dat aan de rechterkant wordt weergegeven
U kunt de registratie van het knooppunt ook ongedaan maken door te klikken op … aan de rechterkant van het knooppunt en Dit knooppunt verwijderen te selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkerdeelvenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als u de VM niet verwijdert, vergeet dan niet om het ISO-configuratiebestand te ontkoppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken voor toegang tot uw beveiligingsgegevens.

Noodherstel met behulp van stand-bydatacenter

De meest kritieke service die uw cluster voor hybride databeveiliging biedt, is het maken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die is opgeslagen in de Webex-cloud te coderen. Voor elke gebruiker in de organisatie die is toegewezen aan hybride databeveiliging, worden aanvragen voor het maken van nieuwe sleutels naar het cluster gerouteerd. Het cluster is ook verantwoordelijk voor het retourneren van de gemaakte sleutels aan alle gebruikers die bevoegd zijn om deze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de kritieke functie uitvoert voor het leveren van deze sleutels, is het absoluut noodzakelijk dat het cluster blijft draaien en dat de juiste back-ups worden onderhouden. Verlies van de database voor hybride databeveiliging of van de configuratie-ISO die voor het schema wordt gebruikt, leidt tot ONHERSTELBAAR VERLIES van klantinhoud. Om dergelijk verlies te voorkomen, zijn de volgende praktijken verplicht:

Als de HDS-implementatie in het primaire datacenter niet beschikbaar wordt door een ramp, volgt u deze procedure om handmatig failover naar het stand-bydatacenter te maken.

Voordat u begint

De registratie van alle knooppunten van Partnerhub ongedaan maken, zoals vermeld in Een knooppunt verwijderen. Gebruik het nieuwste ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat eerder actief was, om de hieronder vermelde failoverprocedure uit te voeren.

1	Start de HDS-setuptool en volg de stappen die worden vermeld in Een configuratie-ISO voor de HDS-hosts maken.
2	Voltooi het configuratieproces en sla het ISO-bestand op een eenvoudig te vinden locatie op.
3	Maak een back-up van het ISO-bestand op uw lokale systeem. Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.
4	Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
5	Klik op Instellingen bewerken >CD/DVD-station 1 en selecteer ISO-gegevensopslagbestand. Zorg ervoor dat Verbonden en Verbinding maken bij inschakelen zijn ingeschakeld, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden nadat de knooppunten zijn gestart.
6	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
7	Registreer het knooppunt in Partnerhub. Raadpleeg Het eerste knooppunt in het cluster registreren.
8	Herhaal het proces voor elk knooppunt in het stand-bydatacenter.

De volgende stappen

Als het primaire datacenter na failover weer actief wordt, verwijdert u de registratie van de knooppunten van het stand-bydatacenter en herhaalt u het proces van configuratie van de ISO en registratie van de knooppunten van het primaire datacenter, zoals hierboven vermeld.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie wordt uitgevoerd met de aangekoppelde ISO. Sommige klanten geven er echter de voorkeur aan dat ISO-bestanden niet continu worden gekoppeld. U kunt het ISO-bestand loskoppelen nadat alle HDS-knooppunten de nieuwe configuratie hebben opgehaald.

U gebruikt nog steeds de ISO-bestanden om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO maakt of een ISO bijwerkt via de setuptool, moet u de bijgewerkte ISO op al uw HDS-knooppunten koppelen. Zodra alle knooppunten de configuratiewijzigingen hebben opgehaald, kunt u de ISO opnieuw loskoppelen met deze procedure.

Voordat u begint

Upgrade al uw HDS-knooppunten naar versie 2021.01.22.4720 of hoger.

1	Sluit een van uw HDS-knooppunten af.
2	Selecteer het HDS-knooppunt in het vCenter Server Appliance.
3	Kies Instellingen bewerken > CD/DVD-station en schakel ISO-gegevensopslagbestand uit.
4	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 20 minuten geen alarmen zijn.
5	Herhaal om de beurt voor elk HDS-knooppunt.

Problemen met hybride databeveiliging oplossen

Waarschuwingen weergeven en problemen oplossen

Een implementatie van Hybride databeveiliging wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn of als de cluster zo langzaam werkt dat een time-out wordt aangevraagd. Als gebruikers uw cluster voor hybride databeveiliging niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe ruimten worden gemaakt (kan geen nieuwe sleutels maken)
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers die aan een ruimte zijn toegevoegd (kunnen geen sleutels ophalen)
- Bestaande gebruikers in een ruimte met een nieuwe client (kunnen geen sleutels ophalen)
Bestaande gebruikers in een ruimte blijven succesvol draaien zolang hun clients een cache van de coderingssleutels hebben

Het is belangrijk dat u uw cluster voor hybride databeveiliging goed controleert en alle waarschuwingen onmiddellijk adresseert om onderbreking van de service te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van hybride databeveiliging, geeft Partnerhub waarschuwingen weer aan de organisatiebeheerder en verzendt u e-mails naar het geconfigureerde e-mailadres. De waarschuwingen behandelen veel algemene scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om deze op te lossen
Waarschuwen	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met lokale database mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste referenties van het serviceaccount zijn gebruikt in de knooppuntconfiguratie.
Toegang tot cloudservice mislukt.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Vereisten voor externe connectiviteit.
De registratie van cloudservice wordt verlengd.	Registratie bij cloudservices is verbroken. De registratie wordt verlengd.
Registratie van cloudservice verbroken.	Registratie bij cloudservices is beëindigd. Service wordt afgesloten.
Service nog niet geactiveerd.	HDS activeren in Partnerhub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde serviceactiveringsdomein. De meest waarschijnlijke oorzaak is dat de algemene naam van het certificaat onlangs is gewijzigd en nu anders is dan de algemene naam die tijdens de eerste installatie is gebruikt.
Kan niet verifiëren bij cloudservices.	Controleer op de nauwkeurigheid en mogelijke vervaldatum van de referenties van het serviceaccount.
Openen van lokaal keystore-bestand is mislukt.	Controleer op integriteit en wachtwoordnauwkeurigheid in het lokale keystore-bestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Kan statistieken niet plaatsen.	Controleer de toegang van het lokale netwerk tot externe cloudservices.
De map /media/configdrive/hds bestaat niet.	Controleer de ISO-koppelconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om te koppelen bij opnieuw opstarten en of het met succes wordt gekoppeld.
De tenantorganisatie-instellingen zijn niet voltooid voor de toegevoegde organisaties	Voltooi de installatie door CMK's te maken voor nieuw toegevoegde tenantorganisaties met de HDS-setuptool.
De tenantorganisatie is niet voltooid voor de verwijderde organisaties	Voltooi de installatie door CMK's van tenantorganisaties die zijn verwijderd met de HDS-setuptool in te trekken.

Problemen met hybride databeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybride databeveiliging.

1	Controleer Partnerhub voor waarschuwingen en los alle items op die u daar vindt. Zie de afbeelding hieronder ter referentie.
2	Controleer de uitvoer van de Syslog-server voor activiteit van de implementatie van hybride databeveiliging. Filter op woorden als 'Waarschuwing' en 'Fout' om problemen op te lossen.
3	Neem contact op met Cisco-ondersteuning.

Overige opmerkingen

Bekende problemen voor hybride databeveiliging

Als u uw cluster voor hybride databeveiliging afsluit (door deze te verwijderen in Partner Hub of door alle knooppunten te sluiten), uw ISO-configuratiebestand te verliezen of de toegang tot de keystore-database te verliezen, kunnen gebruikers van de Webex-app van klantorganisaties niet langer ruimten gebruiken onder hun lijst Personen die zijn gemaakt met sleutels van uw KMS. We hebben momenteel geen tijdelijke oplossing of oplossing voor dit probleem en we verzoeken u dringend uw HDS-services niet te beëindigen zodra deze actieve gebruikersaccounts afhandelen.
Een client die een bestaande ECDH-verbinding met een KMS heeft, onderhoudt die verbinding gedurende een bepaalde tijd (waarschijnlijk één uur).

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een tool die kan worden gebruikt om het PKCS12-bestand in de juiste indeling te maken voor het laden in de HDS-setuptool. Er zijn andere manieren om dit te doen, en we ondersteunen of promoten de ene weg niet boven de andere.
Als u ervoor kiest OpenSSL te gebruiken, bieden we deze procedure als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Begrijp deze vereisten voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel.
Start deze procedure wanneer u het servercertificaat ontvangt van uw certificerende instantie (CA).

1	Wanneer u het servercertificaat van uw CA ontvangt, slaat u het op als `hdsnode.pem`.
2	Geef het certificaat weer als tekst en verifieer de details. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een tekstverwerker om een certificaatbundelbestand met de naam `hdsnode-bundle.pem` te maken. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de basis-CA-certificaten bevatten in de onderstaande indeling: `----BEGIN CERTIFICATE------ ### Servercertificaat. ### -----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Tussenliggend CA-certificaat. ### ----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Basis CA-certificaat. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand met de beschrijvende naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -naam kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te coderen zodat deze wordt weergegeven in de uitvoer. Controleer vervolgens of de privésleutel en het eerste certificaat de regels bevatten `friendlyName: kms-privésleutel`. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Voer importwachtwoord in: Mac heeft OK Bag Attributes geverifieerd friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Sleutelkenmerken: Voer de PEM-wachtwoordzin in: Verifiëren - Voer de PEM-wachtwoordzin in: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Keer terug naar Aan de vereisten voor hybride databeveiliging voldoen. U gebruikt het bestand hdsnode.p12 en het wachtwoord dat u ervoor hebt ingesteld in Een configuratie-ISO voor de HDS-hosts maken.

U kunt deze bestanden opnieuw gebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-knooppunten en de cloud

Verzamelverkeer uitgaande statistieken

De knooppunten voor hybride databeveiliging verzenden bepaalde statistieken naar de Webex-cloud. Hieronder vallen systeemstatistieken voor max. heap, gebruikte heap, CPU-belasting en threadtelling; statistieken op synchrone en asynchrone threads; statistieken over waarschuwingen met een drempel voor coderingsverbindingen, latentie of een aanvraagwachtrijlengte; statistieken in de gegevensopslag; en statistieken voor coderingsverbinding. De knooppunten verzenden gecodeerd sleutelmateriaal via een out-of-band (afzonderlijk van het verzoek) kanaal.

Inkomend verkeer

De knooppunten voor hybride databeveiliging ontvangen de volgende typen inkomend verkeer van de Webex-cloud:

Coderingsverzoeken van clients, die door de coderingsservice worden gerouteerd
Upgrades van de knooppuntsoftware

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren die vereist zijn voor hybride databeveiliging. Deze secties bevatten leidraden voor het configureren van verschillende versies van inktvis om WSS te negeren: verkeer voor de juiste werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn toe aan squid.conf:

on_unsupported_protocol alles tunnel

Inktvis 3.5.27

De hybride gegevensbeveiliging is getest met de volgende regels die zijn toegevoegd aan inktvis. conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl stap1 at_step SslBump1 acl stap2 at_step SslBump2 acl stap3 at_step SslBump3 ssl_bump bekijk stap1 alle ssl_bump staren stap2 alle ssl_bump bump stap3 alle

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en belangrijke fouten die zijn opgelost in de Implementatiehandleiding voor hybride databeveiliging met meerdere tenants.

Datum	Wijzigingen aangebracht
8 januari 2025	Er is een opmerking toegevoegd in Eerste installatie uitvoeren en installatiebestanden downloaden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	Bijgewerkte vereisten voor virtuele host, taakstroom voor implementatie van hybride databeveiliging en installeer de HDS-host-OVA om de nieuwe ESXi 7.0-vereiste weer te geven.
13 december 2024	Eerst gepubliceerd.

Hybride databeveiliging met meerdere tenants deactiveren

Taakstroom voor deactivering van HDS met meerdere tenants

Volg deze stappen om HDS met meerdere tenants volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige partnerbeheerder.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	Trek de CMK's van alle klanten in, zoals vermeld in CMK's van tenants die zijn verwijderd uit HDS intrekken..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partnerhub met een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op ... aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybride databeveiliging en klik op HDS deactiveren op de HDS-statuskaart.

Aan de slag met hybride databeveiliging voor meerdere tenants

Overzicht van hybride databeveiliging met meerdere tenants

Vanaf dag één is gegevensbeveiliging de primaire focus geweest bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end-inhoudscodering, ingeschakeld door clients van de Webex-app die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle klanten van de Webex-app end-to-end-codering met dynamische sleutels die zijn opgeslagen in de cloud-KMS, in de beveiligingsruimte van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Met Hybride databeveiliging voor meerdere tenants kunnen organisaties HDS gebruiken via een vertrouwde lokale partner, die kan optreden als serviceprovider en codering en andere beveiligingsservices op locatie kan beheren. Met deze instelling kan de partnerorganisatie volledige controle hebben over de implementatie en het beheer van coderingssleutels en zorgen ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties stellen HDS-instanties in en maken indien nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties de implementatie en het beheer onder controle hebben, hebben ze geen toegang tot gegevens en inhoud die door klanten zijn gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook HDS gebruiken, omdat sleutelbeheerservice en beveiligingsinfrastructuur zoals datacenters eigendom zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging met meerdere tenants gegevenssoevereiniteit en gegevenscontrole biedt

Door gebruikers gegenereerde inhoud wordt beschermd tegen externe toegang, zoals cloudserviceproviders.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een bestaande relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het instellen en beheren van klanten onder een systeem voor hybride databeveiliging met meerdere tenants.

Rollen in hybride databeveiliging met meerdere tenants

Volledige partnerbeheerder : kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder : kan instellingen beheren voor klanten die door de beheerder zijn ingericht of die aan de gebruiker zijn toegewezen.
Volledige beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end installatie en beheer van alle klantorganisaties met meerdere tenants : volledige partnerbeheerder en volledige beheerdersrechten vereist.
Beheer van toegewezen tenantorganisaties : partnerbeheerders en volledige beheerdersrechten vereist.

Architectuur beveiligingsrealm

De Webex-cloudarchitectuur scheidt verschillende typen services in verschillende realms of vertrouwensdomeinen, zoals hieronder afgebeeld.

Laten we voor meer informatie over hybride databeveiliging eerst naar deze pure cloudcase kijken, waarbij Cisco alle functies in zijn clouddomeinen biedt. De identiteitsservice, de enige plaats waar gebruikers rechtstreeks gecorreleerd kunnen worden met hun persoonlijke informatie, zoals hun e-mailadres, staat logischerwijs en fysiek los van de beveiligingsruimte in datacenter B. Beide staan op hun beurt los van de ruimte waar gecodeerde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker wordt uitgevoerd en is de identiteitsservice geverifieerd. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, worden de volgende stappen uitgevoerd:

De client brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens een sleutel aan om het bericht te coderen. De beveiligde verbinding gebruikt ECDH en de KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt gecodeerd voordat het de client verlaat. De client verzendt deze naar de indexeringsservice, die gecodeerde zoekindexen maakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsservice verzonden voor nalevingscontroles.
Het gecodeerde bericht wordt opgeslagen in de opslagrealm.

Wanneer u hybride databeveiliging implementeert, verplaatst u de functies van de beveiligingsregio (KMS, indexering en naleving) naar uw datacenter op locatie. De andere cloudservices waaruit Webex bestaat (inclusief identiteits- en inhoudsopslag) blijven in de rijken van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen regelmatig de Webex-app gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze is gemaakt door een van uw gebruikers), verzendt uw KMS de sleutel naar de client via een beveiligd ECDH-kanaal. Wanneer een andere organisatie echter eigenaar is van de sleutel voor de ruimte, leidt uw KMS het verzoek naar de Webex-cloud via een afzonderlijk ECDH-kanaal om de sleutel van de juiste KMS op te halen. Vervolgens stuurt u de sleutel terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die op Organisatie A wordt uitgevoerd, valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat dat u wilt gebruiken met uw implementatie van hybride databeveiliging met meerdere tenants.

Verwachtingen voor het implementeren van hybride databeveiliging

Een implementatie van Hybride databeveiliging vereist aanzienlijke inzet en een besef van de risico's die verbonden zijn aan het bezitten van coderingssleutels.

Voor het implementeren van hybride databeveiliging moet u het volgende opgeven:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang die worden beschreven in Uw omgeving voorbereiden.

Volledig verlies van de configuratie-ISO die u voor hybride databeveiliging maakt of de database die u opgeeft, leidt tot het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere gecodeerde gegevens decoderen in de Webex-app. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar is alleen nieuwe inhoud zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een storing van de databaseselectie of een ramp in een datacenter.

Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Installatieproces op hoog niveau

In dit document worden de installatie en het beheer van een implementatie van hybride databeveiliging met meerdere tenants behandeld:

Hybride databeveiliging instellen: dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van hybride databeveiligingssoftware, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan de cluster en het beheren van hun Customer Main Keys (CMK's). Hiermee kunnen alle gebruikers van uw klantorganisaties uw cluster voor hybride databeveiliging gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Uw implementatie van hybride databeveiliging onderhouden: de Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan ondersteuning van niveau één bieden voor deze implementatie en indien nodig contact opnemen met Cisco-ondersteuning. U kunt meldingen op het scherm gebruiken en waarschuwingen op basis van e-mail instellen in Partner Hub.
Algemene waarschuwingen, stappen voor het oplossen van problemen en bekende problemen begrijpen: als u problemen ondervindt met het implementeren of gebruiken van hybride databeveiliging, kan het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen bij het bepalen en oplossen van het probleem.

Implementatiemodel voor hybride databeveiliging

In uw bedrijfsdatacenter implementeert u hybride databeveiliging als een enkele cluster knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces voorzien we u van het OVA-bestand om het virtuele apparaat in te stellen op de door u geleverde VM's. U gebruikt de HDS-setuptool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het cluster voor hybride databeveiliging gebruikt uw opgegeven Syslogd-server en PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS-setuptool.)

Implementatiemodel voor hybride databeveiliging

Het minimum aantal knooppunten dat u in een cluster kunt hebben, is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere knooppunten zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een knooppunt. (De Webex-cloud werkt slechts één knooppunt tegelijk bij.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke gegevensopslag en logboekactiviteit tot dezelfde syslog-server. De knooppunten zelf zijn staatloos en handelen sleutelverzoeken af op ronde-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in Partner Hub. Als u een afzonderlijk knooppunt uit dienst wilt nemen, kunt u de registratie ongedaan maken en later indien nodig opnieuw registreren.

Stand-by-datacenter voor noodherstel

Tijdens de implementatie stelt u een beveiligd stand-by datacenter in. In het geval van een datacenterramp kunt u de implementatie handmatig naar het stand-bydatacenter mislukken.

De databases van de actieve en stand-bydatacenters zijn gesynchroniseerd met elkaar, waardoor de tijd die nodig is om de failover uit te voeren, wordt geminimaliseerd.

De actieve knooppunten voor hybride databeveiliging moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy: de standaard als u het HDS-knooppunt niet gebruikt, stelt u de vertrouwensarchief- en proxyconfiguratie in om een proxy te integreren. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres en hoeven geen wijzigingen te vereisen om te werken met een proxy zonder inspectie. Er is geen certificaat update vereist.
Transparent tunneling of inspecting proxy: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy: met expliciete proxy geeft u de HDS-knooppunten aan welke proxyserver en verificatieschema moeten worden gebruikt. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken.
2. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer.
3. Proxyprotocol: afhankelijk van wat uw proxyserver ondersteunt, kiest u tussen de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Verificatietype: kies uit de volgende verificatietypen:
  - Geen: geen verdere verificatie is vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride databeveiliging met meerdere tenants

Cisco Webex-licentievereisten

Hybride databeveiliging met meerdere tenants implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de functie voor meerdere tenants is ingeschakeld.
Tenantorganisaties: U moet het Pro-pakket voor Cisco Webex Control Hub hebben. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-knooppunten installeert, moet u Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

X.509-certificaatvereisten

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor implementatie van hybride databeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA)	Standaard vertrouwen we de CA's in de lijst met Mozilla (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een CN-domeinnaam (Common Name) die uw implementatie voor hybride databeveiliging identificeert Is geen wildcardcertificaat	De algemene naam hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die overeenkomt met uw organisatie, bijvoorbeeld `hds.bedrijf.com`. De algemene naam mag geen * (jokerteken) bevatten. De algemene naam wordt gebruikt om de knooppunten voor hybride databeveiliging te verifiëren naar Webex-app-clients. Alle knooppunten voor hybride databeveiliging in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met het CN-domein, niet elk domein dat is gedefinieerd in de x.509v3 SAN-velden. Wanneer u een knooppunt met dit certificaat hebt geregistreerd, bieden we geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS #12-bestand Gebruik de beschrijvende naam `kms-private-key` om het certificaat, de privésleutel en eventuele aanvullende certificaten te taggen om te uploaden.	U kunt een conversieprogramma zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS-setuptool uitvoert.

De KMS-software dwingt geen beperkingen op het sleutelgebruik of het uitgebreide sleutelgebruik af. Sommige certificeringsinstanties vereisen dat uitgebreide gebruiksbeperkingen voor elk certificaat worden toegepast, zoals serververificatie. Het is oké om de serververificatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als knooppunten voor hybride databeveiliging in uw cluster instelt, hebben de volgende vereisten:

Ten minste twee afzonderlijke hosts (3 aanbevolen) die zich samen in hetzelfde beveiligde datacenter bevinden
VMware ESXi 7.0 (of hoger) is geïnstalleerd en wordt uitgevoerd.

Als u een eerdere versie van ESXi hebt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale harde schijfruimte per server

Vereisten voor databaseserver

Maak een nieuwe database voor sleutelopslag. Gebruik de standaarddatabase niet. De HDS-toepassingen maken na installatie het databaseschema.

Er zijn twee opties voor databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor databaseserver per type database
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 of 16, geïnstalleerd en actief.	SQL Server 2016, 2017 of 2019 (Enterprise of Standaard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en cumulatieve update 2 of hoger.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL-server

Postgres JDBC driver 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover-clusterinstanties en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-verificatie met Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-verificatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, de Active Directory-infrastructuur en MS SQL Server moeten allemaal worden gesynchroniseerd met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees- en schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het exemplaar van de HDS-database op uw Microsoft SQL-server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een hoofdnaam voor de service registreren voor Kerberos-verbindingen.

De HDS-setuptool, HDS-launcher en lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de details uit uw ISO-configuratie om de SPN te maken wanneer ze toegang aanvragen met Kerberos-verificatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit voor de HDS-toepassingen toe te staan:

Toepassing	Protocol	Poort	Richting vanuit app	Bestemming
Knooppunten voor hybride databeveiliging	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die voor hybride databeveiliging worden vermeld in de tabel Aanvullende URL's voor hybride Webex-services met Netwerkvereisten voor Webex-services
HDS-setuptool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De knooppunten voor hybride databeveiliging werken met NAT (Network Access Translation) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen met de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die inkomend naar de knooppunten voor hybride databeveiliging gaan, mogen er geen poorten zichtbaar zijn vanaf internet. In uw datacenter hebben clients toegang nodig tot de knooppunten voor hybride databeveiliging op TCP-poorten 443 en 22 voor administratieve doeleinden.

De URL's voor de Common Identity-hosts (CI) zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	URL's van host van algemene identiteit
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren. Zie Squid-proxy's configureren voor hybride databeveiliging om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, kunt u het probleem oplossen door het verkeer niet te controleren op wbx2.com en ciscospark.com .

Voldoen aan de vereisten voor hybride databeveiliging

Gebruik deze controlelijst om ervoor te zorgen dat u klaar bent om uw cluster voor hybride databeveiliging te installeren en te configureren.

1	Zorg ervoor dat uw partnerorganisatie de functie Multi-tenant HDS heeft ingeschakeld en haal de referenties op van een account met volledige partnerbeheerder en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor het Pro-pakket voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u instelt als knooppunten voor hybride databeveiliging in uw cluster. U hebt minimaal twee afzonderlijke hosts (3 aanbevolen) nodig die samen in hetzelfde beveiligde datacenter staan en die voldoen aan de vereisten in Vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die fungeert als de belangrijkste gegevensopslag voor het cluster, volgens de Vereisten van de databaseserver. De databaseserver moet in het beveiligde datacenter samen met de virtuele hosts worden geplaatst. Maak een database voor sleutelopslag. (U moet deze database maken. Gebruik niet de standaarddatabase. De HDS-toepassingen maken na installatie het databaseschema.) Verzamel de details die de knooppunten gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor snel noodherstel stelt u een back-upomgeving in een ander datacenter in. De back-upomgeving weerspiegelt de productieomgeving van VM's en een back-updatabaseserver. Als de productie bijvoorbeeld 3 VM's heeft waarop HDS-knooppunten worden uitgevoerd, moet de back-upomgeving 3 VM's hebben.
6	Stel een syslog-host in om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Maak een beveiligd back-upbeleid voor de knooppunten voor hybride databeveiliging, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de knooppunten voor hybride databeveiliging. Omdat de knooppunten voor hybride databeveiliging de sleutels opslaan die voor het coderen en decoderen van inhoud worden gebruikt, zal het niet onderhouden van een operationele implementatie leiden tot ONHERSTELBAAR VERLIES van die inhoud. Webex-app-clients slaan hun sleutels in het cachegeheugen, dus een storing is mogelijk niet direct merkbaar, maar wordt na verloop van tijd duidelijk. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Een volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-configuratiebestand zal echter resulteren in onherstelbare klantgegevens. Van de operatoren van de knooppunten voor hybride databeveiliging wordt verwacht dat ze frequente back-ups van de database en het ISO-configuratiebestand bijhouden en dat ze voorbereid zijn om het datacenter voor hybride databeveiliging opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit voor uw knooppunten voor hybride databeveiliging mogelijk maakt, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bits, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, waarmee de lokale configuratiegegevens voor alle knooppunten voor hybride databeveiliging worden opgebouwd. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Vereisten voor Docker-desktops voor meer informatie. Als u de HDS-setuptool wilt installeren en uitvoeren, moet de lokale machine de verbinding hebben die wordt beschreven in Vereisten voor externe connectiviteit.
10	Als u een proxy integreert met hybride databeveiliging, moet u controleren of deze voldoet aan de vereisten voor de proxyserver.

Een cluster voor hybride databeveiliging instellen

Taakstroom implementatie hybride databeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download installatiebestanden Download het OVA-bestand naar uw lokale machine voor later gebruik.
2	Een configuratie-ISO voor de HDS-hosts maken Gebruik de HDS-setuptool om een ISO-configuratiebestand te maken voor de knooppunten voor hybride databeveiliging.
3	De HDS-host-OVA installeren Maak een virtuele machine met het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	VM voor hybride databeveiliging instellen Meld u aan bij de VM-console en stel de aanmeldgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.
5	De HDS-configuratie-ISO uploaden en koppelen Configureer de VM vanuit het ISO-configuratiebestand dat u hebt gemaakt met de HDS-setuptool.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geeft u het type proxy op dat u voor het knooppunt wilt gebruiken en voegt u het proxycertificaat indien nodig toe aan de vertrouwensopslag.
7	Het eerste knooppunt in het cluster registreren Registreer de VM bij de Cisco Webex-cloud als knooppunt voor hybride databeveiliging.
8	Meer knooppunten maken en registreren Voltooi de clustersetup.
9	Activeer HDS met meerdere tenants in Partner Hub. Activeer HDS en beheer tenantorganisaties in Partner Hub.

Voer de eerste installatie uit en download installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u instelt als knooppunten voor hybride databeveiliging). U kunt dit bestand later in het installatieproces gebruiken.

1	Meld u aan bij Partnerhub en klik vervolgens op Services.
2	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik vervolgens op Instellen. Het is essentieel voor het implementatieproces te klikken op Instellen in Partnerhub. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een resource toevoegen en klik op OVA-bestand downloaden op de kaart Software installeren en configureren . Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades voor hybride databeveiliging. Dit kan leiden tot problemen tijdens het upgraden van de toepassing. Zorg ervoor dat u de meest recente versie van het OVA-bestand downloadt. U kunt de OVA ook op elk moment downloaden via het gedeelte Help . Klik op Instellingen > Help > Software voor hybride databeveiliging downloaden. Het downloaden van het OVA-bestand wordt automatisch gestart. Sla het bestand op een locatie op uw computer op.
4	U kunt ook op Implementatiegids voor hybride databeveiliging bekijken klikken om te controleren of er een nieuwere versie van deze handleiding beschikbaar is.

Een configuratie-ISO voor de HDS-hosts maken

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige beheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT

HTTPS-proxy zonder verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT

HTTP-proxy met verificatie

GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT

HTTPS-proxy met verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stabiel

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stabiel

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost, http://127.0.0.1:8080, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in.

Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.

7

Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.

8

Klik op de overzichtspagina van de setuptool op Aan de slag.

9

Op de pagina ISO-import hebt u de volgende opties:

Nee: als u uw eerste HDS-knooppunt maakt, hebt u geen ISO-bestand om te uploaden.
Ja: als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de blader en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als u nog nooit eerder een certificaat hebt geüpload, uploadt u het X.509-certificaat, voert u het wachtwoord in en klikt u op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat is verlopen of u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account in voor HDS om toegang te krijgen tot uw belangrijke gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u Microsoft SQL Server kiest, wordt het veld Verificatietype weergegeven.
(Alleen Microsoft SQL-server ) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam .
- Windows-verificatie: U hebt een Windows-account nodig met de indeling gebruikersnaam@DOMEIN in het veld Gebruikersnaam .
Voer het adres van de databaseserver in de vorm : of : in.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

U kunt een IP-adres gebruiken voor basisverificatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de Databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
Voorkeur geven aan TLS (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS op de databaseserver inschakelt, proberen de knooppunten een gecodeerde verbinding.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databashost en poort . De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het hoofdcertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS-setuptool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege verbindingsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de machine van de HDS-setuptool deze niet kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet door het DNS kan worden omgezet vanaf de knooppunten voor uw HDS-cluster, gebruikt u een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 geeft aan dat u zich aanmeldt bij de Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat deze TLS-codering gebruikt, schakelt u het selectievakje Is uw syslog-server geconfigureerd voor SSL-codering? in.

Als u dit selectievakje inschakelt, moet u een TCP-URL zoals tcp://10.92.43.23:514 invoeren.
Kies in de vervolgkeuzelijst Syslog-record beëindigen kiezen de juiste instelling voor uw ISO-bestand: Kiezen of nieuwe lijn wordt gebruikt voor Graylog en Rsyslog TCP
- Null byte -- \x00
- Regeleinde -- \n: selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige parameters voor databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxGrootte: 10

15

Klik op Doorgaan in het scherm Wachtwoord voor serviceaccounts herstellen .

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen of u ze wilt herstellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een eenvoudig te vinden locatie op.

17

Maak een back-up van het ISO-bestand op uw lokale systeem.

Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.

18

Als u de setuptool wilt afsluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het ISO-configuratiebestand. U hebt deze nodig om meer knooppunten te maken voor herstel of om configuratiewijzigingen aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels te herstellen van uw PostgreSQL- of Microsoft SQL Server-database.

We hebben nooit een kopie van deze sleutel en kunnen niet helpen als u deze verliest.

De HDS-host-OVA installeren

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Een naam en map selecteren voert u een naam van de virtuele machine in voor het knooppunt (bijvoorbeeld 'HDS_Node_1'), kiest u een locatie waar de implementatie van het knooppunt van de virtuele machine zich kan bevinden en klikt u op Volgende.
5	Kies op de pagina Een rekenresource selecteren de bestemming van de rekenresource en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het is voltooid, worden de sjabloongegevens weergegeven.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de resourceneconfiguratie op de pagina Configuratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren op Volgende om het standaard schijfindeling en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie in de lijst met vermeldingen om de gewenste verbinding met de VM te bieden.
10	Configureer de volgende netwerkinstellingen op de pagina Sjabloon aanpassen : Hostnaam: voer de FQDN (hostnaam en domein) of een enkele woord hostnaam voor het knooppunt in. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Gebruik alleen kleine letters in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld om een succesvolle registratie bij de cloud te garanderen. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres: voer het IP-adres in voor de interne interface van het knooppunt. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund. Masker: voer het adres van het subnetmasker in puntdecimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway: voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dienst doet als een toegangspunt naar een ander netwerk. DNS-servers: voer een door komma's gescheiden lijst in met DNS-servers die domeinnamen naar numerieke IP-adressen vertalen. (Er zijn maximaal 4 DNS-vermeldingen toegestaan.) NTP-servers: voer de NTP-server van uw organisatie of een andere externe NTP-server in die voor uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster voor administratieve doeleinden bereikbaar zijn vanaf clients in uw netwerk. Indien gewenst kunt u de configuratie van de netwerkinstelling overslaan en de stappen volgen in De VM voor hybride databeveiliging instellen om de instellingen te configureren vanuit de knooppuntconsole. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op het knooppunt VM en kies Aan/uit > Inschakelen. De software voor hybride databeveiliging wordt als gast geïnstalleerd op de VM-host. U bent nu klaar om u aan te melden bij de console en het knooppunt te configureren. Tips voor probleemoplossing U kunt een vertraging van enkele minuten ervaren voordat de knooppuntcontainers omhoog komen. Tijdens de eerste keer opstarten verschijnt een bridge-firewallbericht op de console, waarbij u zich niet kunt aanmelden.

VM voor hybride databeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het knooppunt voor hybride databeveiliging en om de aanmeldgegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.

1	Selecteer in de VMware vSphere-client de VM van uw knooppunt voor hybride databeveiliging en het tabblad Console . De VM wordt opgestart en er wordt een aanmeldprompt weergegeven. Als de aanmeldingsprompt niet wordt weergegeven, drukt u op Enter.
2	Gebruik de volgende standaardaanmeldgegevens en -wachtwoorden om u aan te melden en de aanmeldgegevens te wijzigen: Aanmelden: `beheer` Wachtwoord: `Cisco` Aangezien u zich voor de eerste keer bij uw VM aanmeldt, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in De HDS-host-OVA installeren, slaat u de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken .
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig indien nodig de hostnaam, het domein of de NTP-server(s) om overeen te stemmen met uw netwerkbeleid. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen worden doorgevoerd.

De HDS-configuratie-ISO uploaden en koppelen

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u hebt gemaakt met de HDS-setuptool.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op een 'need to know'-basis, voor toegang door de VM's van hybride databeveiliging en alle beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen deze beheerders toegang hebben tot de gegevensopslag.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkerdeelvenster van de VMware vSphere-client op de ESXi-server.
Klik op de lijst Hardware van het tabblad Configuratie op Opslag.
Klik in de lijst Gegevensopslag met de rechtermuisknop op de gegevensopslag voor uw VM's en klik op Gegevensopslag bladeren.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand op uw computer hebt gedownload en klik op Openen.
Klik op Ja om de waarschuwing voor het uploaden/downloaden te accepteren en sluit het dialoogvenster Gegevensopslag.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te koppelen vanuit een ISO-bestand van de gegevensopslag en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Schakel Verbonden en Verbinding maken na inschakelen in.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

De volgende stappen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand loskoppelen nadat al uw knooppunten de configuratiewijzigingen hebben opgehaald. Zie (optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de installatie-URL van het HDS-knooppunt `https://[HDS node IP of FQDN]/Setup` in een webbrowser in, voer de beheerders gegevens in die u hebt ingesteld voor het knooppunt en klik vervolgens op aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy: de standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparent Non-Inspecting Proxy: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken en mogen geen wijzigingen vereisen om te werken met een niet-inspecterende proxy. Er is geen certificaat update vereist. Proxy transparant inspecteren: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy: met expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt en deze optie ondersteunt verschillende verificatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer. Proxyprotocol: kies http (toont en beheert alle verzoeken die zijn ontvangen van de client) of https (biedt een kanaal naar de server en de client ontvangt en valideert het servercertificaat). Kies een optie op basis van wat uw proxyserver ondersteunt. Verificatietype: kies uit de volgende verificatietypen: Geen: geen verdere verificatie is vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, voert u deze stappen uit en ziet u vervolgens Modus voor geblokkeerde externe DNS-resolutie uitschakelen.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Het eerste knooppunt in het cluster registreren

Bij deze taak wordt het algemene knooppunt gebruikt dat u hebt gemaakt in De VM voor hybride databeveiliging instellen, wordt het knooppunt geregistreerd bij de Webex-cloud en wordt het omgezet in een knooppunt voor hybride databeveiliging.

Wanneer u uw eerste knooppunt registreert, maakt u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn geïmplementeerd voor redundantie.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een resource toevoegen.
5	Voer in het eerste veld van de kaart Een knooppunt toevoegen een naam in voor het cluster waaraan u uw knooppunt voor hybride databeveiliging wilt toewijzen. We raden u aan een cluster een naam te geven op basis van de plaats waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: "San Francisco", "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw knooppunt in en klik op Toevoegen onderaan het scherm. Dit IP-adres of de FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De VM voor hybride databeveiliging instellen. Er wordt een bericht weergegeven dat aangeeft dat u uw knooppunt kunt registreren bij de Webex.
7	Klik op Naar knooppunt gaan. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw Webex-organisatie voor toegang tot uw knooppunt.
8	Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud.
9	Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Op de pagina Hybride databeveiliging wordt de nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources . Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten maken en registreren

Om extra knooppunten aan uw cluster toe te voegen, maakt u extra VM's en koppelt u hetzelfde ISO-configuratiebestand. Vervolgens registreert u het knooppunt. We raden aan dat u minimaal 3 knooppunten hebt.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine van de OVA en herhaal de stappen in De HDS-host-OVA installeren.
2	Stel de eerste configuratie in op de nieuwe VM en herhaal de stappen in De VM voor hybride databeveiliging instellen.
3	Herhaal op de nieuwe VM de stappen in De HDS-configuratie-ISO uploaden en koppelen.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Het HDS-knooppunt configureren voor proxyintegratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. Selecteer in https://admin.webex.comServices in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Alles weergeven. De pagina Resources hybride databeveiliging wordt weergegeven. Het nieuwe cluster wordt weergegeven op de pagina Resources . Klik op het cluster om de knooppunten weer te geven die aan het cluster zijn toegewezen. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam van uw knooppunt in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw knooppunt kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw organisatie voor toegang tot uw knooppunt. Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud. Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Het pop-upbericht Knooppunt toegevoegd wordt ook onderaan het scherm in Partnerhub weergegeven. Uw knooppunt is geregistreerd.

Tenantorganisaties beheren voor hybride databeveiliging met meerdere tenants

HDS met meerdere tenants activeren in Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor lokale coderingssleutels en andere beveiligingsservices.

Voordat u begint

Zorg ervoor dat u het instellen van uw HDS-cluster met meerdere tenants hebt voltooid met het vereiste aantal knooppunten.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken.
4	Klik op HDS activeren op de kaart HDS-status .

Tenantorganisaties toevoegen in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw cluster voor hybride databeveiliging.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het cluster waaraan u wilt dat een klant wordt toegewezen.
5	Ga naar het tabblad Toegewezen klanten .
6	Klik op Klanten toevoegen.
7	Selecteer de klant die u wilt toevoegen in het vervolgkeuzemenu.
8	Klik op Toevoegen. De klant wordt aan het cluster toegevoegd.
9	Herhaal stap 6 tot en met 8 om meerdere klanten aan uw cluster toe te voegen.
10	Klik op Gereed onderaan het scherm zodra u de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS-setuptool uit zoals beschreven in Hoofdsleutels voor klanten maken (CMK's) met de HDS-setuptool om het setupproces te voltooien.

Hoofdsleutels voor de klant maken met de HDS-setuptool

Voordat u begint

Wijs klanten toe aan het juiste cluster zoals beschreven in Tenantorganisaties toevoegen in Partner Hub. Voer de HDS-setuptool uit om het setupproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg ervoor dat u verbinding hebt met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK maken voor alle organisaties of CMK maken : klik op deze knop in de banner bovenaan het scherm om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op ... in de buurt van de status CMK-beheer in behandeling van een specifieke organisatie in de tabel en klik op CMK maken om CMK voor die organisatie te maken.
12	Wanneer het maken van CMK is gelukt, verandert de status in de tabel van CMK-beheer in behandeling in CMK beheerd.
13	Als het maken van CMK is mislukt, wordt een fout weergegeven.

Tenantorganisaties verwijderen

Voordat u begint

Na het verwijderen, kunnen gebruikers van klantorganisaties HDS niet meer gebruiken voor hun coderingsbehoeften en verliezen alle bestaande ruimten. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het tabblad Resources op het cluster waarvan u klantorganisaties wilt verwijderen.
5	Klik op de pagina die wordt geopend op Toegewezen klanten.
6	Klik in de lijst met klantorganisaties die worden weergegeven op ... aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken, zoals beschreven in CMK's van tenants die zijn verwijderd uit HDS intrekken.

CMK's van tenants die zijn verwijderd uit HDS intrekken.

Voordat u begint

Verwijder klanten uit het juiste cluster zoals beschreven in Tenantorganisaties verwijderen. Voer de HDS-setuptool uit om het verwijderingsproces voor de klantorganisaties die zijn verwijderd te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's intrekken om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op ... in de buurt van de CMK die moet worden ingetrokken status van een specifieke organisatie in de tabel en klik op CMK intrekken om CMK voor die specifieke organisatie in te trekken.
12	Wanneer CMK-intrekking is gelukt, wordt de klantorganisatie niet meer in de tabel weergegeven.
13	Als de CMK-intrekking mislukt, wordt een fout weergegeven.

Uw implementatie voor hybride databeveiliging testen

Uw implementatie van hybride databeveiliging testen

Gebruik deze procedure om coderingsscenario's voor hybride databeveiliging met meerdere tenants te testen.

Voordat u begint

Stel uw implementatie voor hybride databeveiliging met meerdere tenants in.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken naar uw implementatie van hybride databeveiliging met meerdere tenants worden doorgegeven.

1

Sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte.

Als u de implementatie voor hybride databeveiliging deactiveert, is inhoud in ruimten die gebruikers maken niet meer toegankelijk zodra de kopieën in de cache van de client van de coderingssleutels zijn vervangen.

2

Verzend berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de sleutelverzoeken naar uw implementatie voor hybride databeveiliging gaan.

Als u wilt controleren of een gebruiker eerst een beveiligd kanaal naar de KMS instelt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION:

U vindt een vermelding als het volgende (identifiers shortened for readability):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_SLEUTEL_VERZAMELING, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Als u wilt controleren of een gebruiker een bestaande sleutel van de KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuw KMS Resource Object (KRO) aanvraagt wanneer een omgeving of andere beschermde resource wordt gemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Hybride databeveiliging controleren

Een statusindicator in Partnerhub geeft aan of alles in orde is met de implementatie van hybride databeveiliging met meerdere tenants. Als u proactief belt, meldt u zich aan voor e-mailmeldingen. U wordt geïnformeerd wanneer er alarmen of software-upgrades zijn die invloed hebben op de service.

1	Selecteer in Partnerhub de optie Services in het menu aan de linkerkant van het scherm.
2	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken. De pagina Instellingen hybride databeveiliging wordt weergegeven.
3	Typ in het gedeelte E-mailmeldingen een of meer door komma's gescheiden e-mailadressen en druk op Enter.

Uw HDS-implementatie beheren

HDS-implementatie beheren

Gebruik de taken die hier worden beschreven om uw implementatie van hybride databeveiliging te beheren.

Planning van clusterupgrade instellen

Software-upgrades voor hybride databeveiliging worden automatisch op clusterniveau uitgevoerd, wat ervoor zorgt dat alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens de upgradeplanning voor het cluster. Wanneer een software-upgrade beschikbaar wordt, hebt u de optie het cluster handmatig vóór het geplande tijdstip van de upgrade te upgraden. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken van 3:00 uur Dagelijks in de Verenigde Staten: Amerika/Los Angeles. U kunt er ook voor kiezen om een aankomende upgrade uit te stellen, indien nodig.

De upgradeplanning instellen:

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices hybride databeveiliging en klik op Instellen
4	Selecteer het cluster op de pagina Resources hybride databeveiliging.
5	Klik op het tabblad Clusterinstellingen .
6	Selecteer op de pagina Clusterinstellingen bij Upgradeplanning de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone worden de volgende beschikbare upgradedatum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door op 24 uur uitstellen te klikken.

De knooppuntconfiguratie wijzigen

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset: de oude en nieuwe wachtwoorden werken beide maximaal 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset: de oude wachtwoorden werken niet direct meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige partnerbeheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container in 1.e opent. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de klant van uw Partnerhub in en klikt u vervolgens op Accepteren om door te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Als u de setuptool wilt afsluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als slechts één HDS-knooppunt wordt uitgevoerd, maakt u een nieuwe VM voor hybride databeveiliging en registreert u deze met het nieuwe ISO-configuratiebestand. Zie Meer knooppunten maken en registreren voor meer gedetailleerde instructies. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partnerhub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD-station 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe ISO-configuratiebestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het knooppunt voor hybride databeveiliging (IP-adres/setup, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersreferenties in die u voor het knooppunt instelt en klik vervolgens op Aanmelden.
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, wordt de geblokkeerde externe DNS-omzetting ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een knooppunt voor hybride databeveiliging te verwijderen uit de Webex-cloud. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host en schakel de virtuele machine uit.

2

Verwijder het knooppunt:

Meld u aan bij Partnerhub en selecteer Services.
Klik op de kaart Hybride databeveiliging op Alles weergeven om de pagina Resources hybride databeveiliging weer te geven.
Selecteer uw cluster om het deelvenster Overzicht weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Dit knooppunt afmelden in het deelvenster dat aan de rechterkant wordt weergegeven
U kunt de registratie van het knooppunt ook ongedaan maken door te klikken op … aan de rechterkant van het knooppunt en Dit knooppunt verwijderen te selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkerdeelvenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als u de VM niet verwijdert, vergeet dan niet om het ISO-configuratiebestand te ontkoppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken voor toegang tot uw beveiligingsgegevens.

Noodherstel met behulp van stand-bydatacenter

De meest kritieke service die uw cluster voor hybride databeveiliging biedt, is het maken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die is opgeslagen in de Webex-cloud te coderen. Voor elke gebruiker in de organisatie die is toegewezen aan hybride databeveiliging, worden aanvragen voor het maken van nieuwe sleutels naar het cluster gerouteerd. Het cluster is ook verantwoordelijk voor het retourneren van de gemaakte sleutels aan alle gebruikers die bevoegd zijn om deze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de kritieke functie uitvoert voor het leveren van deze sleutels, is het absoluut noodzakelijk dat het cluster blijft draaien en dat de juiste back-ups worden onderhouden. Verlies van de database voor hybride databeveiliging of van de configuratie-ISO die voor het schema wordt gebruikt, leidt tot ONHERSTELBAAR VERLIES van klantinhoud. Om dergelijk verlies te voorkomen, zijn de volgende praktijken verplicht:

Als de HDS-implementatie in het primaire datacenter niet beschikbaar wordt door een ramp, volgt u deze procedure om handmatig failover naar het stand-bydatacenter te maken.

Voordat u begint

De registratie van alle knooppunten van Partnerhub ongedaan maken, zoals vermeld in Een knooppunt verwijderen. Gebruik het nieuwste ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat eerder actief was, om de hieronder vermelde failoverprocedure uit te voeren.

1	Start de HDS-setuptool en volg de stappen die worden vermeld in Een configuratie-ISO voor de HDS-hosts maken.
2	Voltooi het configuratieproces en sla het ISO-bestand op een eenvoudig te vinden locatie op.
3	Maak een back-up van het ISO-bestand op uw lokale systeem. Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.
4	Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
5	Klik op Instellingen bewerken >CD/DVD-station 1 en selecteer ISO-gegevensopslagbestand. Zorg ervoor dat Verbonden en Verbinding maken bij inschakelen zijn ingeschakeld, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden nadat de knooppunten zijn gestart.
6	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
7	Registreer het knooppunt in Partnerhub. Raadpleeg Het eerste knooppunt in het cluster registreren.
8	Herhaal het proces voor elk knooppunt in het stand-bydatacenter.

De volgende stappen

Als het primaire datacenter na failover weer actief wordt, verwijdert u de registratie van de knooppunten van het stand-bydatacenter en herhaalt u het proces van configuratie van de ISO en registratie van de knooppunten van het primaire datacenter, zoals hierboven vermeld.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie wordt uitgevoerd met de aangekoppelde ISO. Sommige klanten geven er echter de voorkeur aan dat ISO-bestanden niet continu worden gekoppeld. U kunt het ISO-bestand loskoppelen nadat alle HDS-knooppunten de nieuwe configuratie hebben opgehaald.

U gebruikt nog steeds de ISO-bestanden om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO maakt of een ISO bijwerkt via de setuptool, moet u de bijgewerkte ISO op al uw HDS-knooppunten koppelen. Zodra alle knooppunten de configuratiewijzigingen hebben opgehaald, kunt u de ISO opnieuw loskoppelen met deze procedure.

Voordat u begint

Upgrade al uw HDS-knooppunten naar versie 2021.01.22.4720 of hoger.

1	Sluit een van uw HDS-knooppunten af.
2	Selecteer het HDS-knooppunt in het vCenter Server Appliance.
3	Kies Instellingen bewerken > CD/DVD-station en schakel ISO-gegevensopslagbestand uit.
4	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 20 minuten geen alarmen zijn.
5	Herhaal om de beurt voor elk HDS-knooppunt.

Problemen met hybride databeveiliging oplossen

Waarschuwingen weergeven en problemen oplossen

Een implementatie van Hybride databeveiliging wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn of als de cluster zo langzaam werkt dat een time-out wordt aangevraagd. Als gebruikers uw cluster voor hybride databeveiliging niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe ruimten worden gemaakt (kan geen nieuwe sleutels maken)
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers die aan een ruimte zijn toegevoegd (kunnen geen sleutels ophalen)
- Bestaande gebruikers in een ruimte met een nieuwe client (kunnen geen sleutels ophalen)
Bestaande gebruikers in een ruimte blijven succesvol draaien zolang hun clients een cache van de coderingssleutels hebben

Het is belangrijk dat u uw cluster voor hybride databeveiliging goed controleert en alle waarschuwingen onmiddellijk adresseert om onderbreking van de service te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van hybride databeveiliging, geeft Partnerhub waarschuwingen weer aan de organisatiebeheerder en verzendt u e-mails naar het geconfigureerde e-mailadres. De waarschuwingen behandelen veel algemene scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om deze op te lossen
Waarschuwen	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met lokale database mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste referenties van het serviceaccount zijn gebruikt in de knooppuntconfiguratie.
Toegang tot cloudservice mislukt.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Vereisten voor externe connectiviteit.
De registratie van cloudservice wordt verlengd.	Registratie bij cloudservices is verbroken. De registratie wordt verlengd.
Registratie van cloudservice verbroken.	Registratie bij cloudservices is beëindigd. Service wordt afgesloten.
Service nog niet geactiveerd.	HDS activeren in Partnerhub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde serviceactiveringsdomein. De meest waarschijnlijke oorzaak is dat de algemene naam van het certificaat onlangs is gewijzigd en nu anders is dan de algemene naam die tijdens de eerste installatie is gebruikt.
Kan niet verifiëren bij cloudservices.	Controleer op de nauwkeurigheid en mogelijke vervaldatum van de referenties van het serviceaccount.
Openen van lokaal keystore-bestand is mislukt.	Controleer op integriteit en wachtwoordnauwkeurigheid in het lokale keystore-bestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Kan statistieken niet plaatsen.	Controleer de toegang van het lokale netwerk tot externe cloudservices.
De map /media/configdrive/hds bestaat niet.	Controleer de ISO-koppelconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om te koppelen bij opnieuw opstarten en of het met succes wordt gekoppeld.
De tenantorganisatie-instellingen zijn niet voltooid voor de toegevoegde organisaties	Voltooi de installatie door CMK's te maken voor nieuw toegevoegde tenantorganisaties met de HDS-setuptool.
De tenantorganisatie is niet voltooid voor de verwijderde organisaties	Voltooi de installatie door CMK's van tenantorganisaties die zijn verwijderd met de HDS-setuptool in te trekken.

Problemen met hybride databeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybride databeveiliging.

1	Controleer Partnerhub voor waarschuwingen en los alle items op die u daar vindt. Zie de afbeelding hieronder ter referentie.
2	Controleer de uitvoer van de Syslog-server voor activiteit van de implementatie van hybride databeveiliging. Filter op woorden als 'Waarschuwing' en 'Fout' om problemen op te lossen.
3	Neem contact op met Cisco-ondersteuning.

Overige opmerkingen

Bekende problemen voor hybride databeveiliging

Als u uw cluster voor hybride databeveiliging afsluit (door deze te verwijderen in Partner Hub of door alle knooppunten te sluiten), uw ISO-configuratiebestand te verliezen of de toegang tot de keystore-database te verliezen, kunnen gebruikers van de Webex-app van klantorganisaties niet langer ruimten gebruiken onder hun lijst Personen die zijn gemaakt met sleutels van uw KMS. We hebben momenteel geen tijdelijke oplossing of oplossing voor dit probleem en we verzoeken u dringend uw HDS-services niet te beëindigen zodra deze actieve gebruikersaccounts afhandelen.
Een client die een bestaande ECDH-verbinding met een KMS heeft, onderhoudt die verbinding gedurende een bepaalde tijd (waarschijnlijk één uur).

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een tool die kan worden gebruikt om het PKCS12-bestand in de juiste indeling te maken voor het laden in de HDS-setuptool. Er zijn andere manieren om dit te doen, en we ondersteunen of promoten de ene weg niet boven de andere.
Als u ervoor kiest OpenSSL te gebruiken, bieden we deze procedure als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Begrijp deze vereisten voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel.
Start deze procedure wanneer u het servercertificaat ontvangt van uw certificerende instantie (CA).

1	Wanneer u het servercertificaat van uw CA ontvangt, slaat u het op als `hdsnode.pem`.
2	Geef het certificaat weer als tekst en verifieer de details. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een tekstverwerker om een certificaatbundelbestand met de naam `hdsnode-bundle.pem` te maken. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de basis-CA-certificaten bevatten in de onderstaande indeling: `----BEGIN CERTIFICATE------ ### Servercertificaat. ### -----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Tussenliggend CA-certificaat. ### ----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Basis CA-certificaat. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand met de beschrijvende naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -naam kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te coderen zodat deze wordt weergegeven in de uitvoer. Controleer vervolgens of de privésleutel en het eerste certificaat de regels bevatten `friendlyName: kms-privésleutel`. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Voer importwachtwoord in: Mac heeft OK Bag Attributes geverifieerd friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Sleutelkenmerken: Voer de PEM-wachtwoordzin in: Verifiëren - Voer de PEM-wachtwoordzin in: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Keer terug naar Aan de vereisten voor hybride databeveiliging voldoen. U gebruikt het bestand hdsnode.p12 en het wachtwoord dat u ervoor hebt ingesteld in Een configuratie-ISO voor de HDS-hosts maken.

U kunt deze bestanden opnieuw gebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-knooppunten en de cloud

Verzamelverkeer uitgaande statistieken

De knooppunten voor hybride databeveiliging verzenden bepaalde statistieken naar de Webex-cloud. Hieronder vallen systeemstatistieken voor max. heap, gebruikte heap, CPU-belasting en threadtelling; statistieken op synchrone en asynchrone threads; statistieken over waarschuwingen met een drempel voor coderingsverbindingen, latentie of een aanvraagwachtrijlengte; statistieken in de gegevensopslag; en statistieken voor coderingsverbinding. De knooppunten verzenden gecodeerd sleutelmateriaal via een out-of-band (afzonderlijk van het verzoek) kanaal.

Inkomend verkeer

De knooppunten voor hybride databeveiliging ontvangen de volgende typen inkomend verkeer van de Webex-cloud:

Coderingsverzoeken van clients, die door de coderingsservice worden gerouteerd
Upgrades van de knooppuntsoftware

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren die vereist zijn voor hybride databeveiliging. Deze secties bevatten leidraden voor het configureren van verschillende versies van inktvis om WSS te negeren: verkeer voor de juiste werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn toe aan squid.conf:

on_unsupported_protocol alles tunnel

Inktvis 3.5.27

De hybride gegevensbeveiliging is getest met de volgende regels die zijn toegevoegd aan inktvis. conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl stap1 at_step SslBump1 acl stap2 at_step SslBump2 acl stap3 at_step SslBump3 ssl_bump bekijk stap1 alle ssl_bump staren stap2 alle ssl_bump bump stap3 alle

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en belangrijke fouten die zijn opgelost in de Implementatiehandleiding voor hybride databeveiliging met meerdere tenants.

Datum	Wijzigingen aangebracht
15 januari 2025	Beperkingen van hybride databeveiliging met meerdere tenants toegevoegd.
8 januari 2025	Er is een opmerking toegevoegd in Eerste installatie uitvoeren en installatiebestanden downloaden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	Bijgewerkte vereisten voor virtuele host, taakstroom voor implementatie van hybride databeveiliging en installeer de HDS-host-OVA om de nieuwe ESXi 7.0-vereiste weer te geven.
13 december 2024	Eerst gepubliceerd.

Hybride databeveiliging met meerdere tenants deactiveren

Taakstroom voor deactivering van HDS met meerdere tenants

Volg deze stappen om HDS met meerdere tenants volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige partnerbeheerder.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	Trek de CMK's van alle klanten in, zoals vermeld in CMK's van tenants die zijn verwijderd uit HDS intrekken..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partnerhub met een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op ... aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybride databeveiliging en klik op HDS deactiveren op de HDS-statuskaart.

Aan de slag met hybride databeveiliging voor meerdere tenants

Overzicht van hybride databeveiliging met meerdere tenants

Vanaf dag één is gegevensbeveiliging de primaire focus geweest bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end-inhoudscodering, ingeschakeld door clients van de Webex-app die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle klanten van de Webex-app end-to-end-codering met dynamische sleutels die zijn opgeslagen in de cloud-KMS, in de beveiligingsruimte van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Met Hybride databeveiliging voor meerdere tenants kunnen organisaties HDS gebruiken via een vertrouwde lokale partner, die kan optreden als serviceprovider en codering en andere beveiligingsservices op locatie kan beheren. Met deze instelling kan de partnerorganisatie volledige controle hebben over de implementatie en het beheer van coderingssleutels en zorgen ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties stellen HDS-instanties in en maken indien nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties de implementatie en het beheer onder controle hebben, hebben ze geen toegang tot gegevens en inhoud die door klanten zijn gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook HDS gebruiken, omdat sleutelbeheerservice en beveiligingsinfrastructuur zoals datacenters eigendom zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging met meerdere tenants gegevenssoevereiniteit en gegevenscontrole biedt

Door gebruikers gegenereerde inhoud wordt beschermd tegen externe toegang, zoals cloudserviceproviders.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een bestaande relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het instellen en beheren van klanten onder een systeem voor hybride databeveiliging met meerdere tenants.

Beperkingen van hybride databeveiliging met meerdere tenants

Partnerorganisaties mogen geen bestaande HDS-implementatie actief hebben in Control Hub.
Tenant- of klantorganisaties die door een partner willen worden beheerd, mogen geen bestaande HDS-implementatie hebben in Control Hub.
Zodra Multi-tenant HDS door de partner is geïmplementeerd, gaan alle gebruikers van klantorganisaties en gebruikers van de partnerorganisatie gebruikmaken van Multi-tenant HDS voor hun coderingsservices.

De partnerorganisatie en klantorganisaties die zij beheren, bevinden zich in dezelfde HDS-implementatie voor meerdere tenants.

De partnerorganisatie gebruikt geen Cloud KMS meer nadat een multi-tenant-HDS is geïmplementeerd.
Er is geen mechanisme om sleutels terug te verplaatsen naar Cloud KMS na een HDS-implementatie.
Momenteel kan elke HDS-implementatie met meerdere tenants slechts één cluster hebben, met meerdere knooppunten eronder.
Beheerdersrollen hebben bepaalde beperkingen. Zie het onderstaande gedeelte voor meer informatie.

Rollen in hybride databeveiliging met meerdere tenants

Volledige partnerbeheerder : kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder : kan instellingen beheren voor klanten die door de beheerder zijn ingericht of die aan de gebruiker zijn toegewezen.
Volledige beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end installatie en beheer van alle klantorganisaties met meerdere tenants : volledige partnerbeheerder en volledige beheerdersrechten vereist.
Beheer van toegewezen tenantorganisaties : partnerbeheerders en volledige beheerdersrechten vereist.

Architectuur beveiligingsrealm

De Webex-cloudarchitectuur scheidt verschillende typen services in verschillende realms of vertrouwensdomeinen, zoals hieronder afgebeeld.

Laten we voor meer informatie over hybride databeveiliging eerst naar deze pure cloudcase kijken, waarbij Cisco alle functies in zijn clouddomeinen biedt. De identiteitsservice, de enige plaats waar gebruikers rechtstreeks gecorreleerd kunnen worden met hun persoonlijke informatie, zoals hun e-mailadres, staat logischerwijs en fysiek los van de beveiligingsruimte in datacenter B. Beide staan op hun beurt los van de ruimte waar gecodeerde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker wordt uitgevoerd en is de identiteitsservice geverifieerd. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, worden de volgende stappen uitgevoerd:

De client brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens een sleutel aan om het bericht te coderen. De beveiligde verbinding gebruikt ECDH en de KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt gecodeerd voordat het de client verlaat. De client verzendt deze naar de indexeringsservice, die gecodeerde zoekindexen maakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsservice verzonden voor nalevingscontroles.
Het gecodeerde bericht wordt opgeslagen in de opslagrealm.

Wanneer u hybride databeveiliging implementeert, verplaatst u de functies van de beveiligingsregio (KMS, indexering en naleving) naar uw datacenter op locatie. De andere cloudservices waaruit Webex bestaat (inclusief identiteits- en inhoudsopslag) blijven in de rijken van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen regelmatig de Webex-app gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze is gemaakt door een van uw gebruikers), verzendt uw KMS de sleutel naar de client via een beveiligd ECDH-kanaal. Wanneer een andere organisatie echter eigenaar is van de sleutel voor de ruimte, leidt uw KMS het verzoek naar de Webex-cloud via een afzonderlijk ECDH-kanaal om de sleutel van de juiste KMS op te halen. Vervolgens stuurt u de sleutel terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die op Organisatie A wordt uitgevoerd, valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat dat u wilt gebruiken met uw implementatie van hybride databeveiliging met meerdere tenants.

Verwachtingen voor het implementeren van hybride databeveiliging

Een implementatie van Hybride databeveiliging vereist aanzienlijke inzet en een besef van de risico's die verbonden zijn aan het bezitten van coderingssleutels.

Voor het implementeren van hybride databeveiliging moet u het volgende opgeven:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang die worden beschreven in Uw omgeving voorbereiden.

Volledig verlies van de configuratie-ISO die u voor hybride databeveiliging maakt of de database die u opgeeft, leidt tot het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere gecodeerde gegevens decoderen in de Webex-app. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar is alleen nieuwe inhoud zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een storing van de databaseselectie of een ramp in een datacenter.

Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Installatieproces op hoog niveau

In dit document worden de installatie en het beheer van een implementatie van hybride databeveiliging met meerdere tenants behandeld:

Hybride databeveiliging instellen: dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van hybride databeveiligingssoftware, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan de cluster en het beheren van hun Customer Main Keys (CMK's). Hiermee kunnen alle gebruikers van uw klantorganisaties uw cluster voor hybride databeveiliging gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Uw implementatie van hybride databeveiliging onderhouden: de Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan ondersteuning van niveau één bieden voor deze implementatie en indien nodig contact opnemen met Cisco-ondersteuning. U kunt meldingen op het scherm gebruiken en waarschuwingen op basis van e-mail instellen in Partner Hub.
Algemene waarschuwingen, stappen voor het oplossen van problemen en bekende problemen begrijpen: als u problemen ondervindt met het implementeren of gebruiken van hybride databeveiliging, kan het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen bij het bepalen en oplossen van het probleem.

Implementatiemodel voor hybride databeveiliging

In uw bedrijfsdatacenter implementeert u hybride databeveiliging als een enkele cluster knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces voorzien we u van het OVA-bestand om het virtuele apparaat in te stellen op de door u geleverde VM's. U gebruikt de HDS-setuptool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het cluster voor hybride databeveiliging gebruikt uw opgegeven Syslogd-server en PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS-setuptool.)

Implementatiemodel voor hybride databeveiliging

Het minimum aantal knooppunten dat u in een cluster kunt hebben, is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere knooppunten zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een knooppunt. (De Webex-cloud werkt slechts één knooppunt tegelijk bij.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke gegevensopslag en logboekactiviteit tot dezelfde syslog-server. De knooppunten zelf zijn staatloos en handelen sleutelverzoeken af op ronde-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in Partner Hub. Als u een afzonderlijk knooppunt uit dienst wilt nemen, kunt u de registratie ongedaan maken en later indien nodig opnieuw registreren.

Stand-by-datacenter voor noodherstel

Tijdens de implementatie stelt u een beveiligd stand-by datacenter in. In het geval van een datacenterramp kunt u de implementatie handmatig naar het stand-bydatacenter mislukken.

De databases van de actieve en stand-bydatacenters zijn gesynchroniseerd met elkaar, waardoor de tijd die nodig is om de failover uit te voeren, wordt geminimaliseerd.

De actieve knooppunten voor hybride databeveiliging moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy: de standaard als u het HDS-knooppunt niet gebruikt, stelt u de vertrouwensarchief- en proxyconfiguratie in om een proxy te integreren. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres en hoeven geen wijzigingen te vereisen om te werken met een proxy zonder inspectie. Er is geen certificaat update vereist.
Transparent tunneling of inspecting proxy: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy: met expliciete proxy geeft u de HDS-knooppunten aan welke proxyserver en verificatieschema moeten worden gebruikt. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken.
2. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer.
3. Proxyprotocol: afhankelijk van wat uw proxyserver ondersteunt, kiest u tussen de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Verificatietype: kies uit de volgende verificatietypen:
  - Geen: geen verdere verificatie is vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride databeveiliging met meerdere tenants

Cisco Webex-licentievereisten

Hybride databeveiliging met meerdere tenants implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de functie voor meerdere tenants is ingeschakeld.
Tenantorganisaties: U moet het Pro-pakket voor Cisco Webex Control Hub hebben. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-knooppunten installeert, moet u Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

X.509-certificaatvereisten

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor implementatie van hybride databeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA)	Standaard vertrouwen we de CA's in de lijst met Mozilla (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een CN-domeinnaam (Common Name) die uw implementatie voor hybride databeveiliging identificeert Is geen wildcardcertificaat	De algemene naam hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die overeenkomt met uw organisatie, bijvoorbeeld `hds.bedrijf.com`. De algemene naam mag geen * (jokerteken) bevatten. De algemene naam wordt gebruikt om de knooppunten voor hybride databeveiliging te verifiëren naar Webex-app-clients. Alle knooppunten voor hybride databeveiliging in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met het CN-domein, niet elk domein dat is gedefinieerd in de x.509v3 SAN-velden. Wanneer u een knooppunt met dit certificaat hebt geregistreerd, bieden we geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS #12-bestand Gebruik de beschrijvende naam `kms-private-key` om het certificaat, de privésleutel en eventuele aanvullende certificaten te taggen om te uploaden.	U kunt een conversieprogramma zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS-setuptool uitvoert.

De KMS-software dwingt geen beperkingen op het sleutelgebruik of het uitgebreide sleutelgebruik af. Sommige certificeringsinstanties vereisen dat uitgebreide gebruiksbeperkingen voor elk certificaat worden toegepast, zoals serververificatie. Het is oké om de serververificatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als knooppunten voor hybride databeveiliging in uw cluster instelt, hebben de volgende vereisten:

Ten minste twee afzonderlijke hosts (3 aanbevolen) die zich samen in hetzelfde beveiligde datacenter bevinden
VMware ESXi 7.0 (of hoger) is geïnstalleerd en wordt uitgevoerd.

Als u een eerdere versie van ESXi hebt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale harde schijfruimte per server

Vereisten voor databaseserver

Maak een nieuwe database voor sleutelopslag. Gebruik de standaarddatabase niet. De HDS-toepassingen maken na installatie het databaseschema.

Er zijn twee opties voor databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor databaseserver per type database
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 of 16, geïnstalleerd en actief.	SQL Server 2016, 2017 of 2019 (Enterprise of Standaard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en cumulatieve update 2 of hoger.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL-server

Postgres JDBC driver 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover-clusterinstanties en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-verificatie met Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-verificatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, de Active Directory-infrastructuur en MS SQL Server moeten allemaal worden gesynchroniseerd met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees- en schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het exemplaar van de HDS-database op uw Microsoft SQL-server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een hoofdnaam voor de service registreren voor Kerberos-verbindingen.

De HDS-setuptool, HDS-launcher en lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de details uit uw ISO-configuratie om de SPN te maken wanneer ze toegang aanvragen met Kerberos-verificatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit voor de HDS-toepassingen toe te staan:

Toepassing	Protocol	Poort	Richting vanuit app	Bestemming
Knooppunten voor hybride databeveiliging	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die voor hybride databeveiliging worden vermeld in de tabel Aanvullende URL's voor hybride Webex-services met Netwerkvereisten voor Webex-services
HDS-setuptool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De knooppunten voor hybride databeveiliging werken met NAT (Network Access Translation) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen met de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die inkomend naar de knooppunten voor hybride databeveiliging gaan, mogen er geen poorten zichtbaar zijn vanaf internet. In uw datacenter hebben clients toegang nodig tot de knooppunten voor hybride databeveiliging op TCP-poorten 443 en 22 voor administratieve doeleinden.

De URL's voor de Common Identity-hosts (CI) zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	URL's van host van algemene identiteit
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren. Zie Squid-proxy's configureren voor hybride databeveiliging om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, kunt u het probleem oplossen door het verkeer niet te controleren op wbx2.com en ciscospark.com .

Voldoen aan de vereisten voor hybride databeveiliging

Gebruik deze controlelijst om ervoor te zorgen dat u klaar bent om uw cluster voor hybride databeveiliging te installeren en te configureren.

1	Zorg ervoor dat uw partnerorganisatie de functie Multi-tenant HDS heeft ingeschakeld en haal de referenties op van een account met volledige partnerbeheerder en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor het Pro-pakket voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u instelt als knooppunten voor hybride databeveiliging in uw cluster. U hebt minimaal twee afzonderlijke hosts (3 aanbevolen) nodig die samen in hetzelfde beveiligde datacenter staan en die voldoen aan de vereisten in Vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die fungeert als de belangrijkste gegevensopslag voor het cluster, volgens de Vereisten van de databaseserver. De databaseserver moet in het beveiligde datacenter samen met de virtuele hosts worden geplaatst. Maak een database voor sleutelopslag. (U moet deze database maken. Gebruik niet de standaarddatabase. De HDS-toepassingen maken na installatie het databaseschema.) Verzamel de details die de knooppunten gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor snel noodherstel stelt u een back-upomgeving in een ander datacenter in. De back-upomgeving weerspiegelt de productieomgeving van VM's en een back-updatabaseserver. Als de productie bijvoorbeeld 3 VM's heeft waarop HDS-knooppunten worden uitgevoerd, moet de back-upomgeving 3 VM's hebben.
6	Stel een syslog-host in om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Maak een beveiligd back-upbeleid voor de knooppunten voor hybride databeveiliging, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de knooppunten voor hybride databeveiliging. Omdat de knooppunten voor hybride databeveiliging de sleutels opslaan die voor het coderen en decoderen van inhoud worden gebruikt, zal het niet onderhouden van een operationele implementatie leiden tot ONHERSTELBAAR VERLIES van die inhoud. Webex-app-clients slaan hun sleutels in het cachegeheugen, dus een storing is mogelijk niet direct merkbaar, maar wordt na verloop van tijd duidelijk. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Een volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-configuratiebestand zal echter resulteren in onherstelbare klantgegevens. Van de operatoren van de knooppunten voor hybride databeveiliging wordt verwacht dat ze frequente back-ups van de database en het ISO-configuratiebestand bijhouden en dat ze voorbereid zijn om het datacenter voor hybride databeveiliging opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit voor uw knooppunten voor hybride databeveiliging mogelijk maakt, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bits, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, waarmee de lokale configuratiegegevens voor alle knooppunten voor hybride databeveiliging worden opgebouwd. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Vereisten voor Docker-desktops voor meer informatie. Als u de HDS-setuptool wilt installeren en uitvoeren, moet de lokale machine de verbinding hebben die wordt beschreven in Vereisten voor externe connectiviteit.
10	Als u een proxy integreert met hybride databeveiliging, moet u controleren of deze voldoet aan de vereisten voor de proxyserver.

Een cluster voor hybride databeveiliging instellen

Taakstroom implementatie hybride databeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download installatiebestanden Download het OVA-bestand naar uw lokale machine voor later gebruik.
2	Een configuratie-ISO voor de HDS-hosts maken Gebruik de HDS-setuptool om een ISO-configuratiebestand te maken voor de knooppunten voor hybride databeveiliging.
3	De HDS-host-OVA installeren Maak een virtuele machine met het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	VM voor hybride databeveiliging instellen Meld u aan bij de VM-console en stel de aanmeldgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.
5	De HDS-configuratie-ISO uploaden en koppelen Configureer de VM vanuit het ISO-configuratiebestand dat u hebt gemaakt met de HDS-setuptool.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geeft u het type proxy op dat u voor het knooppunt wilt gebruiken en voegt u het proxycertificaat indien nodig toe aan de vertrouwensopslag.
7	Het eerste knooppunt in het cluster registreren Registreer de VM bij de Cisco Webex-cloud als knooppunt voor hybride databeveiliging.
8	Meer knooppunten maken en registreren Voltooi de clustersetup.
9	Activeer HDS met meerdere tenants in Partner Hub. Activeer HDS en beheer tenantorganisaties in Partner Hub.

Voer de eerste installatie uit en download installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u instelt als knooppunten voor hybride databeveiliging). U kunt dit bestand later in het installatieproces gebruiken.

1	Meld u aan bij Partnerhub en klik vervolgens op Services.
2	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik vervolgens op Instellen. Het is essentieel voor het implementatieproces te klikken op Instellen in Partnerhub. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een resource toevoegen en klik op OVA-bestand downloaden op de kaart Software installeren en configureren . Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades voor hybride databeveiliging. Dit kan leiden tot problemen tijdens het upgraden van de toepassing. Zorg ervoor dat u de meest recente versie van het OVA-bestand downloadt. U kunt de OVA ook op elk moment downloaden via het gedeelte Help . Klik op Instellingen > Help > Software voor hybride databeveiliging downloaden. Het downloaden van het OVA-bestand wordt automatisch gestart. Sla het bestand op een locatie op uw computer op.
4	U kunt ook op Implementatiegids voor hybride databeveiliging bekijken klikken om te controleren of er een nieuwere versie van deze handleiding beschikbaar is.

Een configuratie-ISO voor de HDS-hosts maken

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige beheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT

HTTPS-proxy zonder verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT

HTTP-proxy met verificatie

GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT

HTTPS-proxy met verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stabiel

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stabiel

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost, http://127.0.0.1:8080, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in.

Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.

7

Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.

8

Klik op de overzichtspagina van de setuptool op Aan de slag.

9

Op de pagina ISO-import hebt u de volgende opties:

Nee: als u uw eerste HDS-knooppunt maakt, hebt u geen ISO-bestand om te uploaden.
Ja: als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de blader en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als u nog nooit eerder een certificaat hebt geüpload, uploadt u het X.509-certificaat, voert u het wachtwoord in en klikt u op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat is verlopen of u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account in voor HDS om toegang te krijgen tot uw belangrijke gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u Microsoft SQL Server kiest, wordt het veld Verificatietype weergegeven.
(Alleen Microsoft SQL-server ) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam .
- Windows-verificatie: U hebt een Windows-account nodig met de indeling gebruikersnaam@DOMEIN in het veld Gebruikersnaam .
Voer het adres van de databaseserver in de vorm : of : in.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

U kunt een IP-adres gebruiken voor basisverificatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de Databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
Voorkeur geven aan TLS (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS op de databaseserver inschakelt, proberen de knooppunten een gecodeerde verbinding.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databashost en poort . De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het hoofdcertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS-setuptool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege verbindingsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de machine van de HDS-setuptool deze niet kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet door het DNS kan worden omgezet vanaf de knooppunten voor uw HDS-cluster, gebruikt u een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 geeft aan dat u zich aanmeldt bij de Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat deze TLS-codering gebruikt, schakelt u het selectievakje Is uw syslog-server geconfigureerd voor SSL-codering? in.

Als u dit selectievakje inschakelt, moet u een TCP-URL zoals tcp://10.92.43.23:514 invoeren.
Kies in de vervolgkeuzelijst Syslog-record beëindigen kiezen de juiste instelling voor uw ISO-bestand: Kiezen of nieuwe lijn wordt gebruikt voor Graylog en Rsyslog TCP
- Null byte -- \x00
- Regeleinde -- \n: selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige parameters voor databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxGrootte: 10

15

Klik op Doorgaan in het scherm Wachtwoord voor serviceaccounts herstellen .

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen of u ze wilt herstellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een eenvoudig te vinden locatie op.

17

Maak een back-up van het ISO-bestand op uw lokale systeem.

Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.

18

Als u de setuptool wilt afsluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het ISO-configuratiebestand. U hebt deze nodig om meer knooppunten te maken voor herstel of om configuratiewijzigingen aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels te herstellen van uw PostgreSQL- of Microsoft SQL Server-database.

We hebben nooit een kopie van deze sleutel en kunnen niet helpen als u deze verliest.

De HDS-host-OVA installeren

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Een naam en map selecteren voert u een naam van de virtuele machine in voor het knooppunt (bijvoorbeeld 'HDS_Node_1'), kiest u een locatie waar de implementatie van het knooppunt van de virtuele machine zich kan bevinden en klikt u op Volgende.
5	Kies op de pagina Een rekenresource selecteren de bestemming van de rekenresource en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het is voltooid, worden de sjabloongegevens weergegeven.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de resourceneconfiguratie op de pagina Configuratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren op Volgende om het standaard schijfindeling en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie in de lijst met vermeldingen om de gewenste verbinding met de VM te bieden.
10	Configureer de volgende netwerkinstellingen op de pagina Sjabloon aanpassen : Hostnaam: voer de FQDN (hostnaam en domein) of een enkele woord hostnaam voor het knooppunt in. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Gebruik alleen kleine letters in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld om een succesvolle registratie bij de cloud te garanderen. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres: voer het IP-adres in voor de interne interface van het knooppunt. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund. Masker: voer het adres van het subnetmasker in puntdecimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway: voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dienst doet als een toegangspunt naar een ander netwerk. DNS-servers: voer een door komma's gescheiden lijst in met DNS-servers die domeinnamen naar numerieke IP-adressen vertalen. (Er zijn maximaal 4 DNS-vermeldingen toegestaan.) NTP-servers: voer de NTP-server van uw organisatie of een andere externe NTP-server in die voor uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster voor administratieve doeleinden bereikbaar zijn vanaf clients in uw netwerk. Indien gewenst kunt u de configuratie van de netwerkinstelling overslaan en de stappen volgen in De VM voor hybride databeveiliging instellen om de instellingen te configureren vanuit de knooppuntconsole. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op het knooppunt VM en kies Aan/uit > Inschakelen. De software voor hybride databeveiliging wordt als gast geïnstalleerd op de VM-host. U bent nu klaar om u aan te melden bij de console en het knooppunt te configureren. Tips voor probleemoplossing U kunt een vertraging van enkele minuten ervaren voordat de knooppuntcontainers omhoog komen. Tijdens de eerste keer opstarten verschijnt een bridge-firewallbericht op de console, waarbij u zich niet kunt aanmelden.

VM voor hybride databeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het knooppunt voor hybride databeveiliging en om de aanmeldgegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.

1	Selecteer in de VMware vSphere-client de VM van uw knooppunt voor hybride databeveiliging en het tabblad Console . De VM wordt opgestart en er wordt een aanmeldprompt weergegeven. Als de aanmeldingsprompt niet wordt weergegeven, drukt u op Enter.
2	Gebruik de volgende standaardaanmeldgegevens en -wachtwoorden om u aan te melden en de aanmeldgegevens te wijzigen: Aanmelden: `beheer` Wachtwoord: `Cisco` Aangezien u zich voor de eerste keer bij uw VM aanmeldt, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in De HDS-host-OVA installeren, slaat u de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken .
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig indien nodig de hostnaam, het domein of de NTP-server(s) om overeen te stemmen met uw netwerkbeleid. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen worden doorgevoerd.

De HDS-configuratie-ISO uploaden en koppelen

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u hebt gemaakt met de HDS-setuptool.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op een 'need to know'-basis, voor toegang door de VM's van hybride databeveiliging en alle beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen deze beheerders toegang hebben tot de gegevensopslag.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkerdeelvenster van de VMware vSphere-client op de ESXi-server.
Klik op de lijst Hardware van het tabblad Configuratie op Opslag.
Klik in de lijst Gegevensopslag met de rechtermuisknop op de gegevensopslag voor uw VM's en klik op Gegevensopslag bladeren.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand op uw computer hebt gedownload en klik op Openen.
Klik op Ja om de waarschuwing voor het uploaden/downloaden te accepteren en sluit het dialoogvenster Gegevensopslag.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te koppelen vanuit een ISO-bestand van de gegevensopslag en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Schakel Verbonden en Verbinding maken na inschakelen in.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

De volgende stappen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand loskoppelen nadat al uw knooppunten de configuratiewijzigingen hebben opgehaald. Zie (optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de installatie-URL van het HDS-knooppunt `https://[HDS node IP of FQDN]/Setup` in een webbrowser in, voer de beheerders gegevens in die u hebt ingesteld voor het knooppunt en klik vervolgens op aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy: de standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparent Non-Inspecting Proxy: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken en mogen geen wijzigingen vereisen om te werken met een niet-inspecterende proxy. Er is geen certificaat update vereist. Proxy transparant inspecteren: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy: met expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt en deze optie ondersteunt verschillende verificatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer. Proxyprotocol: kies http (toont en beheert alle verzoeken die zijn ontvangen van de client) of https (biedt een kanaal naar de server en de client ontvangt en valideert het servercertificaat). Kies een optie op basis van wat uw proxyserver ondersteunt. Verificatietype: kies uit de volgende verificatietypen: Geen: geen verdere verificatie is vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, voert u deze stappen uit en ziet u vervolgens Modus voor geblokkeerde externe DNS-resolutie uitschakelen.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Het eerste knooppunt in het cluster registreren

Bij deze taak wordt het algemene knooppunt gebruikt dat u hebt gemaakt in De VM voor hybride databeveiliging instellen, wordt het knooppunt geregistreerd bij de Webex-cloud en wordt het omgezet in een knooppunt voor hybride databeveiliging.

Wanneer u uw eerste knooppunt registreert, maakt u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn geïmplementeerd voor redundantie.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een resource toevoegen.
5	Voer in het eerste veld van de kaart Een knooppunt toevoegen een naam in voor het cluster waaraan u uw knooppunt voor hybride databeveiliging wilt toewijzen. We raden u aan een cluster een naam te geven op basis van de plaats waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: "San Francisco", "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw knooppunt in en klik op Toevoegen onderaan het scherm. Dit IP-adres of de FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De VM voor hybride databeveiliging instellen. Er wordt een bericht weergegeven dat aangeeft dat u uw knooppunt kunt registreren bij de Webex.
7	Klik op Naar knooppunt gaan. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw Webex-organisatie voor toegang tot uw knooppunt.
8	Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud.
9	Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Op de pagina Hybride databeveiliging wordt de nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources . Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten maken en registreren

Om extra knooppunten aan uw cluster toe te voegen, maakt u extra VM's en koppelt u hetzelfde ISO-configuratiebestand. Vervolgens registreert u het knooppunt. We raden aan dat u minimaal 3 knooppunten hebt.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine van de OVA en herhaal de stappen in De HDS-host-OVA installeren.
2	Stel de eerste configuratie in op de nieuwe VM en herhaal de stappen in De VM voor hybride databeveiliging instellen.
3	Herhaal op de nieuwe VM de stappen in De HDS-configuratie-ISO uploaden en koppelen.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Het HDS-knooppunt configureren voor proxyintegratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. Selecteer in https://admin.webex.comServices in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Alles weergeven. De pagina Resources hybride databeveiliging wordt weergegeven. Het nieuwe cluster wordt weergegeven op de pagina Resources . Klik op het cluster om de knooppunten weer te geven die aan het cluster zijn toegewezen. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam van uw knooppunt in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw knooppunt kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw organisatie voor toegang tot uw knooppunt. Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud. Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Het pop-upbericht Knooppunt toegevoegd wordt ook onderaan het scherm in Partnerhub weergegeven. Uw knooppunt is geregistreerd.

Tenantorganisaties beheren voor hybride databeveiliging met meerdere tenants

HDS met meerdere tenants activeren in Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor lokale coderingssleutels en andere beveiligingsservices.

Voordat u begint

Zorg ervoor dat u het instellen van uw HDS-cluster met meerdere tenants hebt voltooid met het vereiste aantal knooppunten.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken.
4	Klik op HDS activeren op de kaart HDS-status .

Tenantorganisaties toevoegen in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw cluster voor hybride databeveiliging.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het cluster waaraan u wilt dat een klant wordt toegewezen.
5	Ga naar het tabblad Toegewezen klanten .
6	Klik op Klanten toevoegen.
7	Selecteer de klant die u wilt toevoegen in het vervolgkeuzemenu.
8	Klik op Toevoegen. De klant wordt aan het cluster toegevoegd.
9	Herhaal stap 6 tot en met 8 om meerdere klanten aan uw cluster toe te voegen.
10	Klik op Gereed onderaan het scherm zodra u de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS-setuptool uit zoals beschreven in Hoofdsleutels voor klanten maken (CMK's) met de HDS-setuptool om het setupproces te voltooien.

Hoofdsleutels voor de klant maken met de HDS-setuptool

Voordat u begint

Wijs klanten toe aan het juiste cluster zoals beschreven in Tenantorganisaties toevoegen in Partner Hub. Voer de HDS-setuptool uit om het setupproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg ervoor dat u verbinding hebt met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK maken voor alle organisaties of CMK maken : klik op deze knop in de banner bovenaan het scherm om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op ... in de buurt van de status CMK-beheer in behandeling van een specifieke organisatie in de tabel en klik op CMK maken om CMK voor die organisatie te maken.
12	Wanneer het maken van CMK is gelukt, verandert de status in de tabel van CMK-beheer in behandeling in CMK beheerd.
13	Als het maken van CMK is mislukt, wordt een fout weergegeven.

Tenantorganisaties verwijderen

Voordat u begint

Na het verwijderen, kunnen gebruikers van klantorganisaties HDS niet meer gebruiken voor hun coderingsbehoeften en verliezen alle bestaande ruimten. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het tabblad Resources op het cluster waarvan u klantorganisaties wilt verwijderen.
5	Klik op de pagina die wordt geopend op Toegewezen klanten.
6	Klik in de lijst met klantorganisaties die worden weergegeven op ... aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken, zoals beschreven in CMK's van tenants die zijn verwijderd uit HDS intrekken.

CMK's van tenants die zijn verwijderd uit HDS intrekken.

Voordat u begint

Verwijder klanten uit het juiste cluster zoals beschreven in Tenantorganisaties verwijderen. Voer de HDS-setuptool uit om het verwijderingsproces voor de klantorganisaties die zijn verwijderd te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's intrekken om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op ... in de buurt van de CMK die moet worden ingetrokken status van een specifieke organisatie in de tabel en klik op CMK intrekken om CMK voor die specifieke organisatie in te trekken.
12	Wanneer CMK-intrekking is gelukt, wordt de klantorganisatie niet meer in de tabel weergegeven.
13	Als de CMK-intrekking mislukt, wordt een fout weergegeven.

Uw implementatie voor hybride databeveiliging testen

Uw implementatie van hybride databeveiliging testen

Gebruik deze procedure om coderingsscenario's voor hybride databeveiliging met meerdere tenants te testen.

Voordat u begint

Stel uw implementatie voor hybride databeveiliging met meerdere tenants in.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken naar uw implementatie van hybride databeveiliging met meerdere tenants worden doorgegeven.

1

Sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte.

Als u de implementatie voor hybride databeveiliging deactiveert, is inhoud in ruimten die gebruikers maken niet meer toegankelijk zodra de kopieën in de cache van de client van de coderingssleutels zijn vervangen.

2

Verzend berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de sleutelverzoeken naar uw implementatie voor hybride databeveiliging gaan.

Als u wilt controleren of een gebruiker eerst een beveiligd kanaal naar de KMS instelt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION:

U vindt een vermelding als het volgende (identifiers shortened for readability):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_SLEUTEL_VERZAMELING, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Als u wilt controleren of een gebruiker een bestaande sleutel van de KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuw KMS Resource Object (KRO) aanvraagt wanneer een omgeving of andere beschermde resource wordt gemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Hybride databeveiliging controleren

Een statusindicator in Partnerhub geeft aan of alles in orde is met de implementatie van hybride databeveiliging met meerdere tenants. Als u proactief belt, meldt u zich aan voor e-mailmeldingen. U wordt geïnformeerd wanneer er alarmen of software-upgrades zijn die invloed hebben op de service.

1	Selecteer in Partnerhub de optie Services in het menu aan de linkerkant van het scherm.
2	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken. De pagina Instellingen hybride databeveiliging wordt weergegeven.
3	Typ in het gedeelte E-mailmeldingen een of meer door komma's gescheiden e-mailadressen en druk op Enter.

Uw HDS-implementatie beheren

HDS-implementatie beheren

Gebruik de taken die hier worden beschreven om uw implementatie van hybride databeveiliging te beheren.

Planning van clusterupgrade instellen

Software-upgrades voor hybride databeveiliging worden automatisch op clusterniveau uitgevoerd, wat ervoor zorgt dat alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens de upgradeplanning voor het cluster. Wanneer een software-upgrade beschikbaar wordt, hebt u de optie het cluster handmatig vóór het geplande tijdstip van de upgrade te upgraden. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken van 3:00 uur Dagelijks in de Verenigde Staten: Amerika/Los Angeles. U kunt er ook voor kiezen om een aankomende upgrade uit te stellen, indien nodig.

De upgradeplanning instellen:

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices hybride databeveiliging en klik op Instellen
4	Selecteer het cluster op de pagina Resources hybride databeveiliging.
5	Klik op het tabblad Clusterinstellingen .
6	Selecteer op de pagina Clusterinstellingen bij Upgradeplanning de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone worden de volgende beschikbare upgradedatum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door op 24 uur uitstellen te klikken.

De knooppuntconfiguratie wijzigen

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset: de oude en nieuwe wachtwoorden werken beide maximaal 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset: de oude wachtwoorden werken niet direct meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige partnerbeheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container in 1.e opent. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de klant van uw Partnerhub in en klikt u vervolgens op Accepteren om door te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Als u de setuptool wilt afsluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als slechts één HDS-knooppunt wordt uitgevoerd, maakt u een nieuwe VM voor hybride databeveiliging en registreert u deze met het nieuwe ISO-configuratiebestand. Zie Meer knooppunten maken en registreren voor meer gedetailleerde instructies. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partnerhub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD-station 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe ISO-configuratiebestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het knooppunt voor hybride databeveiliging (IP-adres/setup, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersreferenties in die u voor het knooppunt instelt en klik vervolgens op Aanmelden.
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, wordt de geblokkeerde externe DNS-omzetting ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een knooppunt voor hybride databeveiliging te verwijderen uit de Webex-cloud. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host en schakel de virtuele machine uit.

2

Verwijder het knooppunt:

Meld u aan bij Partnerhub en selecteer Services.
Klik op de kaart Hybride databeveiliging op Alles weergeven om de pagina Resources hybride databeveiliging weer te geven.
Selecteer uw cluster om het deelvenster Overzicht weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Dit knooppunt afmelden in het deelvenster dat aan de rechterkant wordt weergegeven
U kunt de registratie van het knooppunt ook ongedaan maken door te klikken op … aan de rechterkant van het knooppunt en Dit knooppunt verwijderen te selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkerdeelvenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als u de VM niet verwijdert, vergeet dan niet om het ISO-configuratiebestand te ontkoppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken voor toegang tot uw beveiligingsgegevens.

Noodherstel met behulp van stand-bydatacenter

De meest kritieke service die uw cluster voor hybride databeveiliging biedt, is het maken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die is opgeslagen in de Webex-cloud te coderen. Voor elke gebruiker in de organisatie die is toegewezen aan hybride databeveiliging, worden aanvragen voor het maken van nieuwe sleutels naar het cluster gerouteerd. Het cluster is ook verantwoordelijk voor het retourneren van de gemaakte sleutels aan alle gebruikers die bevoegd zijn om deze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de kritieke functie uitvoert voor het leveren van deze sleutels, is het absoluut noodzakelijk dat het cluster blijft draaien en dat de juiste back-ups worden onderhouden. Verlies van de database voor hybride databeveiliging of van de configuratie-ISO die voor het schema wordt gebruikt, leidt tot ONHERSTELBAAR VERLIES van klantinhoud. Om dergelijk verlies te voorkomen, zijn de volgende praktijken verplicht:

Als de HDS-implementatie in het primaire datacenter niet beschikbaar wordt door een ramp, volgt u deze procedure om handmatig failover naar het stand-bydatacenter te maken.

Voordat u begint

De registratie van alle knooppunten van Partnerhub ongedaan maken, zoals vermeld in Een knooppunt verwijderen. Gebruik het nieuwste ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat eerder actief was, om de hieronder vermelde failoverprocedure uit te voeren.

1	Start de HDS-setuptool en volg de stappen die worden vermeld in Een configuratie-ISO voor de HDS-hosts maken.
2	Voltooi het configuratieproces en sla het ISO-bestand op een eenvoudig te vinden locatie op.
3	Maak een back-up van het ISO-bestand op uw lokale systeem. Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.
4	Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
5	Klik op Instellingen bewerken >CD/DVD-station 1 en selecteer ISO-gegevensopslagbestand. Zorg ervoor dat Verbonden en Verbinding maken bij inschakelen zijn ingeschakeld, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden nadat de knooppunten zijn gestart.
6	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
7	Registreer het knooppunt in Partnerhub. Raadpleeg Het eerste knooppunt in het cluster registreren.
8	Herhaal het proces voor elk knooppunt in het stand-bydatacenter.

De volgende stappen

Als het primaire datacenter na failover weer actief wordt, verwijdert u de registratie van de knooppunten van het stand-bydatacenter en herhaalt u het proces van configuratie van de ISO en registratie van de knooppunten van het primaire datacenter, zoals hierboven vermeld.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie wordt uitgevoerd met de aangekoppelde ISO. Sommige klanten geven er echter de voorkeur aan dat ISO-bestanden niet continu worden gekoppeld. U kunt het ISO-bestand loskoppelen nadat alle HDS-knooppunten de nieuwe configuratie hebben opgehaald.

U gebruikt nog steeds de ISO-bestanden om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO maakt of een ISO bijwerkt via de setuptool, moet u de bijgewerkte ISO op al uw HDS-knooppunten koppelen. Zodra alle knooppunten de configuratiewijzigingen hebben opgehaald, kunt u de ISO opnieuw loskoppelen met deze procedure.

Voordat u begint

Upgrade al uw HDS-knooppunten naar versie 2021.01.22.4720 of hoger.

1	Sluit een van uw HDS-knooppunten af.
2	Selecteer het HDS-knooppunt in het vCenter Server Appliance.
3	Kies Instellingen bewerken > CD/DVD-station en schakel ISO-gegevensopslagbestand uit.
4	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 20 minuten geen alarmen zijn.
5	Herhaal om de beurt voor elk HDS-knooppunt.

Problemen met hybride databeveiliging oplossen

Waarschuwingen weergeven en problemen oplossen

Een implementatie van Hybride databeveiliging wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn of als de cluster zo langzaam werkt dat een time-out wordt aangevraagd. Als gebruikers uw cluster voor hybride databeveiliging niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe ruimten worden gemaakt (kan geen nieuwe sleutels maken)
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers die aan een ruimte zijn toegevoegd (kunnen geen sleutels ophalen)
- Bestaande gebruikers in een ruimte met een nieuwe client (kunnen geen sleutels ophalen)
Bestaande gebruikers in een ruimte blijven succesvol draaien zolang hun clients een cache van de coderingssleutels hebben

Het is belangrijk dat u uw cluster voor hybride databeveiliging goed controleert en alle waarschuwingen onmiddellijk adresseert om onderbreking van de service te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van hybride databeveiliging, geeft Partnerhub waarschuwingen weer aan de organisatiebeheerder en verzendt u e-mails naar het geconfigureerde e-mailadres. De waarschuwingen behandelen veel algemene scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om deze op te lossen
Waarschuwen	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met lokale database mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste referenties van het serviceaccount zijn gebruikt in de knooppuntconfiguratie.
Toegang tot cloudservice mislukt.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Vereisten voor externe connectiviteit.
De registratie van cloudservice wordt verlengd.	Registratie bij cloudservices is verbroken. De registratie wordt verlengd.
Registratie van cloudservice verbroken.	Registratie bij cloudservices is beëindigd. Service wordt afgesloten.
Service nog niet geactiveerd.	HDS activeren in Partnerhub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde serviceactiveringsdomein. De meest waarschijnlijke oorzaak is dat de algemene naam van het certificaat onlangs is gewijzigd en nu anders is dan de algemene naam die tijdens de eerste installatie is gebruikt.
Kan niet verifiëren bij cloudservices.	Controleer op de nauwkeurigheid en mogelijke vervaldatum van de referenties van het serviceaccount.
Openen van lokaal keystore-bestand is mislukt.	Controleer op integriteit en wachtwoordnauwkeurigheid in het lokale keystore-bestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Kan statistieken niet plaatsen.	Controleer de toegang van het lokale netwerk tot externe cloudservices.
De map /media/configdrive/hds bestaat niet.	Controleer de ISO-koppelconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om te koppelen bij opnieuw opstarten en of het met succes wordt gekoppeld.
De tenantorganisatie-instellingen zijn niet voltooid voor de toegevoegde organisaties	Voltooi de installatie door CMK's te maken voor nieuw toegevoegde tenantorganisaties met de HDS-setuptool.
De tenantorganisatie is niet voltooid voor de verwijderde organisaties	Voltooi de installatie door CMK's van tenantorganisaties die zijn verwijderd met de HDS-setuptool in te trekken.

Problemen met hybride databeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybride databeveiliging.

1	Controleer Partnerhub voor waarschuwingen en los alle items op die u daar vindt. Zie de afbeelding hieronder ter referentie.
2	Controleer de uitvoer van de Syslog-server voor activiteit van de implementatie van hybride databeveiliging. Filter op woorden als 'Waarschuwing' en 'Fout' om problemen op te lossen.
3	Neem contact op met Cisco-ondersteuning.

Overige opmerkingen

Bekende problemen voor hybride databeveiliging

Als u uw cluster voor hybride databeveiliging afsluit (door deze te verwijderen in Partner Hub of door alle knooppunten te sluiten), uw ISO-configuratiebestand te verliezen of de toegang tot de keystore-database te verliezen, kunnen gebruikers van de Webex-app van klantorganisaties niet langer ruimten gebruiken onder hun lijst Personen die zijn gemaakt met sleutels van uw KMS. We hebben momenteel geen tijdelijke oplossing of oplossing voor dit probleem en we verzoeken u dringend uw HDS-services niet te beëindigen zodra deze actieve gebruikersaccounts afhandelen.
Een client die een bestaande ECDH-verbinding met een KMS heeft, onderhoudt die verbinding gedurende een bepaalde tijd (waarschijnlijk één uur).

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een tool die kan worden gebruikt om het PKCS12-bestand in de juiste indeling te maken voor het laden in de HDS-setuptool. Er zijn andere manieren om dit te doen, en we ondersteunen of promoten de ene weg niet boven de andere.
Als u ervoor kiest OpenSSL te gebruiken, bieden we deze procedure als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Begrijp deze vereisten voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel.
Start deze procedure wanneer u het servercertificaat ontvangt van uw certificerende instantie (CA).

1	Wanneer u het servercertificaat van uw CA ontvangt, slaat u het op als `hdsnode.pem`.
2	Geef het certificaat weer als tekst en verifieer de details. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een tekstverwerker om een certificaatbundelbestand met de naam `hdsnode-bundle.pem` te maken. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de basis-CA-certificaten bevatten in de onderstaande indeling: `----BEGIN CERTIFICATE------ ### Servercertificaat. ### -----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Tussenliggend CA-certificaat. ### ----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Basis CA-certificaat. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand met de beschrijvende naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -naam kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te coderen zodat deze wordt weergegeven in de uitvoer. Controleer vervolgens of de privésleutel en het eerste certificaat de regels bevatten `friendlyName: kms-privésleutel`. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Voer importwachtwoord in: Mac heeft OK Bag Attributes geverifieerd friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Sleutelkenmerken: Voer de PEM-wachtwoordzin in: Verifiëren - Voer de PEM-wachtwoordzin in: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Keer terug naar Aan de vereisten voor hybride databeveiliging voldoen. U gebruikt het bestand hdsnode.p12 en het wachtwoord dat u ervoor hebt ingesteld in Een configuratie-ISO voor de HDS-hosts maken.

U kunt deze bestanden opnieuw gebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-knooppunten en de cloud

Verzamelverkeer uitgaande statistieken

De knooppunten voor hybride databeveiliging verzenden bepaalde statistieken naar de Webex-cloud. Hieronder vallen systeemstatistieken voor max. heap, gebruikte heap, CPU-belasting en threadtelling; statistieken op synchrone en asynchrone threads; statistieken over waarschuwingen met een drempel voor coderingsverbindingen, latentie of een aanvraagwachtrijlengte; statistieken in de gegevensopslag; en statistieken voor coderingsverbinding. De knooppunten verzenden gecodeerd sleutelmateriaal via een out-of-band (afzonderlijk van het verzoek) kanaal.

Inkomend verkeer

De knooppunten voor hybride databeveiliging ontvangen de volgende typen inkomend verkeer van de Webex-cloud:

Coderingsverzoeken van clients, die door de coderingsservice worden gerouteerd
Upgrades van de knooppuntsoftware

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren die vereist zijn voor hybride databeveiliging. Deze secties bevatten leidraden voor het configureren van verschillende versies van inktvis om WSS te negeren: verkeer voor de juiste werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn toe aan squid.conf:

on_unsupported_protocol alles tunnel

Inktvis 3.5.27

De hybride gegevensbeveiliging is getest met de volgende regels die zijn toegevoegd aan inktvis. conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl stap1 at_step SslBump1 acl stap2 at_step SslBump2 acl stap3 at_step SslBump3 ssl_bump bekijk stap1 alle ssl_bump staren stap2 alle ssl_bump bump stap3 alle

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en belangrijke fouten die zijn opgelost in de Implementatiehandleiding voor hybride databeveiliging met meerdere tenants.

Datum	Wijzigingen aangebracht
30 januari 2025	SQL-serverversie 2022 toegevoegd aan de lijst met ondersteunde SQL-servers in Vereisten voor databaseserver.
15 januari 2025	Beperkingen van hybride databeveiliging met meerdere tenants toegevoegd.
8 januari 2025	Er is een opmerking toegevoegd in Eerste installatie uitvoeren en installatiebestanden downloaden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	Bijgewerkte vereisten voor virtuele host, taakstroom voor implementatie van hybride databeveiliging en installeer de HDS-host-OVA om de nieuwe ESXi 7.0-vereiste weer te geven.
13 december 2024	Eerst gepubliceerd.

Hybride databeveiliging met meerdere tenants deactiveren

Taakstroom voor deactivering van HDS met meerdere tenants

Volg deze stappen om HDS met meerdere tenants volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige partnerbeheerder.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	Trek de CMK's van alle klanten in, zoals vermeld in CMK's van tenants die zijn verwijderd uit HDS intrekken..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partnerhub met een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op ... aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybride databeveiliging en klik op HDS deactiveren op de HDS-statuskaart.

Aan de slag met hybride databeveiliging voor meerdere tenants

Overzicht van hybride databeveiliging met meerdere tenants

Vanaf dag één is gegevensbeveiliging de primaire focus geweest bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end-inhoudscodering, ingeschakeld door clients van de Webex-app die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle klanten van de Webex-app end-to-end-codering met dynamische sleutels die zijn opgeslagen in de cloud-KMS, in de beveiligingsruimte van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Met Hybride databeveiliging voor meerdere tenants kunnen organisaties HDS gebruiken via een vertrouwde lokale partner, die kan optreden als serviceprovider en codering en andere beveiligingsservices op locatie kan beheren. Met deze instelling kan de partnerorganisatie volledige controle hebben over de implementatie en het beheer van coderingssleutels en zorgen ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties stellen HDS-instanties in en maken indien nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties de implementatie en het beheer onder controle hebben, hebben ze geen toegang tot gegevens en inhoud die door klanten zijn gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook HDS gebruiken, omdat sleutelbeheerservice en beveiligingsinfrastructuur zoals datacenters eigendom zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging met meerdere tenants gegevenssoevereiniteit en gegevenscontrole biedt

Door gebruikers gegenereerde inhoud wordt beschermd tegen externe toegang, zoals cloudserviceproviders.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een bestaande relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het instellen en beheren van klanten onder een systeem voor hybride databeveiliging met meerdere tenants.

Beperkingen van hybride databeveiliging met meerdere tenants

Partnerorganisaties mogen geen bestaande HDS-implementatie actief hebben in Control Hub.
Tenant- of klantorganisaties die door een partner willen worden beheerd, mogen geen bestaande HDS-implementatie hebben in Control Hub.
Zodra Multi-tenant HDS door de partner is geïmplementeerd, gaan alle gebruikers van klantorganisaties en gebruikers van de partnerorganisatie gebruikmaken van Multi-tenant HDS voor hun coderingsservices.

De partnerorganisatie en klantorganisaties die zij beheren, bevinden zich in dezelfde HDS-implementatie voor meerdere tenants.

De partnerorganisatie gebruikt geen Cloud KMS meer nadat een multi-tenant-HDS is geïmplementeerd.
Er is geen mechanisme om sleutels terug te verplaatsen naar Cloud KMS na een HDS-implementatie.
Momenteel kan elke HDS-implementatie met meerdere tenants slechts één cluster hebben, met meerdere knooppunten eronder.
Beheerdersrollen hebben bepaalde beperkingen. Zie het onderstaande gedeelte voor meer informatie.

Rollen in hybride databeveiliging met meerdere tenants

Volledige partnerbeheerder : kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder : kan instellingen beheren voor klanten die door de beheerder zijn ingericht of die aan de gebruiker zijn toegewezen.
Volledige beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end installatie en beheer van alle klantorganisaties met meerdere tenants : volledige partnerbeheerder en volledige beheerdersrechten vereist.
Beheer van toegewezen tenantorganisaties : partnerbeheerders en volledige beheerdersrechten vereist.

Architectuur beveiligingsrealm

De Webex-cloudarchitectuur scheidt verschillende typen services in verschillende realms of vertrouwensdomeinen, zoals hieronder afgebeeld.

Laten we voor meer informatie over hybride databeveiliging eerst naar deze pure cloudcase kijken, waarbij Cisco alle functies in zijn clouddomeinen biedt. De identiteitsservice, de enige plaats waar gebruikers rechtstreeks gecorreleerd kunnen worden met hun persoonlijke informatie, zoals hun e-mailadres, staat logischerwijs en fysiek los van de beveiligingsruimte in datacenter B. Beide staan op hun beurt los van de ruimte waar gecodeerde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker wordt uitgevoerd en is de identiteitsservice geverifieerd. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, worden de volgende stappen uitgevoerd:

De client brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens een sleutel aan om het bericht te coderen. De beveiligde verbinding gebruikt ECDH en de KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt gecodeerd voordat het de client verlaat. De client verzendt deze naar de indexeringsservice, die gecodeerde zoekindexen maakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsservice verzonden voor nalevingscontroles.
Het gecodeerde bericht wordt opgeslagen in de opslagrealm.

Wanneer u hybride databeveiliging implementeert, verplaatst u de functies van de beveiligingsregio (KMS, indexering en naleving) naar uw datacenter op locatie. De andere cloudservices waaruit Webex bestaat (inclusief identiteits- en inhoudsopslag) blijven in de rijken van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen regelmatig de Webex-app gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze is gemaakt door een van uw gebruikers), verzendt uw KMS de sleutel naar de client via een beveiligd ECDH-kanaal. Wanneer een andere organisatie echter eigenaar is van de sleutel voor de ruimte, leidt uw KMS het verzoek naar de Webex-cloud via een afzonderlijk ECDH-kanaal om de sleutel van de juiste KMS op te halen. Vervolgens stuurt u de sleutel terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die op Organisatie A wordt uitgevoerd, valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat dat u wilt gebruiken met uw implementatie van hybride databeveiliging met meerdere tenants.

Verwachtingen voor het implementeren van hybride databeveiliging

Een implementatie van Hybride databeveiliging vereist aanzienlijke inzet en een besef van de risico's die verbonden zijn aan het bezitten van coderingssleutels.

Voor het implementeren van hybride databeveiliging moet u het volgende opgeven:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang die worden beschreven in Uw omgeving voorbereiden.

Volledig verlies van de configuratie-ISO die u voor hybride databeveiliging maakt of de database die u opgeeft, leidt tot het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere gecodeerde gegevens decoderen in de Webex-app. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar is alleen nieuwe inhoud zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een storing van de databaseselectie of een ramp in een datacenter.

Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Installatieproces op hoog niveau

In dit document worden de installatie en het beheer van een implementatie van hybride databeveiliging met meerdere tenants behandeld:

Hybride databeveiliging instellen: dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van hybride databeveiligingssoftware, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan de cluster en het beheren van hun Customer Main Keys (CMK's). Hiermee kunnen alle gebruikers van uw klantorganisaties uw cluster voor hybride databeveiliging gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Uw implementatie van hybride databeveiliging onderhouden: de Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan ondersteuning van niveau één bieden voor deze implementatie en indien nodig contact opnemen met Cisco-ondersteuning. U kunt meldingen op het scherm gebruiken en waarschuwingen op basis van e-mail instellen in Partner Hub.
Algemene waarschuwingen, stappen voor het oplossen van problemen en bekende problemen begrijpen: als u problemen ondervindt met het implementeren of gebruiken van hybride databeveiliging, kan het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen bij het bepalen en oplossen van het probleem.

Implementatiemodel voor hybride databeveiliging

In uw bedrijfsdatacenter implementeert u hybride databeveiliging als een enkele cluster knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces voorzien we u van het OVA-bestand om het virtuele apparaat in te stellen op de door u geleverde VM's. U gebruikt de HDS-setuptool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het cluster voor hybride databeveiliging gebruikt uw opgegeven Syslogd-server en PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS-setuptool.)

Implementatiemodel voor hybride databeveiliging

Het minimum aantal knooppunten dat u in een cluster kunt hebben, is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere knooppunten zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een knooppunt. (De Webex-cloud werkt slechts één knooppunt tegelijk bij.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke gegevensopslag en logboekactiviteit tot dezelfde syslog-server. De knooppunten zelf zijn staatloos en handelen sleutelverzoeken af op ronde-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in Partner Hub. Als u een afzonderlijk knooppunt uit dienst wilt nemen, kunt u de registratie ongedaan maken en later indien nodig opnieuw registreren.

Stand-by-datacenter voor noodherstel

Tijdens de implementatie stelt u een beveiligd stand-by datacenter in. In het geval van een datacenterramp kunt u de implementatie handmatig naar het stand-bydatacenter mislukken.

De databases van de actieve en stand-bydatacenters zijn gesynchroniseerd met elkaar, waardoor de tijd die nodig is om de failover uit te voeren, wordt geminimaliseerd.

De actieve knooppunten voor hybride databeveiliging moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy: de standaard als u het HDS-knooppunt niet gebruikt, stelt u de vertrouwensarchief- en proxyconfiguratie in om een proxy te integreren. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres en hoeven geen wijzigingen te vereisen om te werken met een proxy zonder inspectie. Er is geen certificaat update vereist.
Transparent tunneling of inspecting proxy: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy: met expliciete proxy geeft u de HDS-knooppunten aan welke proxyserver en verificatieschema moeten worden gebruikt. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken.
2. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer.
3. Proxyprotocol: afhankelijk van wat uw proxyserver ondersteunt, kiest u tussen de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Verificatietype: kies uit de volgende verificatietypen:
  - Geen: geen verdere verificatie is vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride databeveiliging met meerdere tenants

Cisco Webex-licentievereisten

Hybride databeveiliging met meerdere tenants implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de functie voor meerdere tenants is ingeschakeld.
Tenantorganisaties: U moet het Pro-pakket voor Cisco Webex Control Hub hebben. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-knooppunten installeert, moet u Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

X.509-certificaatvereisten

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor implementatie van hybride databeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA)	Standaard vertrouwen we de CA's in de lijst met Mozilla (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een CN-domeinnaam (Common Name) die uw implementatie voor hybride databeveiliging identificeert Is geen wildcardcertificaat	De algemene naam hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die overeenkomt met uw organisatie, bijvoorbeeld `hds.bedrijf.com`. De algemene naam mag geen * (jokerteken) bevatten. De algemene naam wordt gebruikt om de knooppunten voor hybride databeveiliging te verifiëren naar Webex-app-clients. Alle knooppunten voor hybride databeveiliging in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met het CN-domein, niet elk domein dat is gedefinieerd in de x.509v3 SAN-velden. Wanneer u een knooppunt met dit certificaat hebt geregistreerd, bieden we geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS #12-bestand Gebruik de beschrijvende naam `kms-private-key` om het certificaat, de privésleutel en eventuele aanvullende certificaten te taggen om te uploaden.	U kunt een conversieprogramma zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS-setuptool uitvoert.

De KMS-software dwingt geen beperkingen op het sleutelgebruik of het uitgebreide sleutelgebruik af. Sommige certificeringsinstanties vereisen dat uitgebreide gebruiksbeperkingen voor elk certificaat worden toegepast, zoals serververificatie. Het is oké om de serververificatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als knooppunten voor hybride databeveiliging in uw cluster instelt, hebben de volgende vereisten:

Ten minste twee afzonderlijke hosts (3 aanbevolen) die zich samen in hetzelfde beveiligde datacenter bevinden
VMware ESXi 7.0 (of hoger) is geïnstalleerd en wordt uitgevoerd.

Als u een eerdere versie van ESXi hebt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale harde schijfruimte per server

Vereisten voor databaseserver

Maak een nieuwe database voor sleutelopslag. Gebruik de standaarddatabase niet. De HDS-toepassingen maken na installatie het databaseschema.

Er zijn twee opties voor databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor databaseserver per type database
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 of 16, geïnstalleerd en actief.	SQL Server 2016, 2017, 2019 of 2022 (Enterprise of Standaard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en cumulatieve update 2 of hoger.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL-server

Postgres JDBC driver 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover-clusterinstanties en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-verificatie met Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-verificatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, de Active Directory-infrastructuur en MS SQL Server moeten allemaal worden gesynchroniseerd met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees- en schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het exemplaar van de HDS-database op uw Microsoft SQL-server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een hoofdnaam voor de service registreren voor Kerberos-verbindingen.

De HDS-setuptool, HDS-launcher en lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de details uit uw ISO-configuratie om de SPN te maken wanneer ze toegang aanvragen met Kerberos-verificatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit voor de HDS-toepassingen toe te staan:

Toepassing	Protocol	Poort	Richting vanuit app	Bestemming
Knooppunten voor hybride databeveiliging	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die voor hybride databeveiliging worden vermeld in de tabel Aanvullende URL's voor hybride Webex-services met Netwerkvereisten voor Webex-services
HDS-setuptool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De knooppunten voor hybride databeveiliging werken met NAT (Network Access Translation) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen met de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die inkomend naar de knooppunten voor hybride databeveiliging gaan, mogen er geen poorten zichtbaar zijn vanaf internet. In uw datacenter hebben clients toegang nodig tot de knooppunten voor hybride databeveiliging op TCP-poorten 443 en 22 voor administratieve doeleinden.

De URL's voor de Common Identity-hosts (CI) zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	URL's van host van algemene identiteit
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren. Zie Squid-proxy's configureren voor hybride databeveiliging om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, kunt u het probleem oplossen door het verkeer niet te controleren op wbx2.com en ciscospark.com .

Voldoen aan de vereisten voor hybride databeveiliging

Gebruik deze controlelijst om ervoor te zorgen dat u klaar bent om uw cluster voor hybride databeveiliging te installeren en te configureren.

1	Zorg ervoor dat uw partnerorganisatie de functie Multi-tenant HDS heeft ingeschakeld en haal de referenties op van een account met volledige partnerbeheerder en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor het Pro-pakket voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u instelt als knooppunten voor hybride databeveiliging in uw cluster. U hebt minimaal twee afzonderlijke hosts (3 aanbevolen) nodig die samen in hetzelfde beveiligde datacenter staan en die voldoen aan de vereisten in Vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die fungeert als de belangrijkste gegevensopslag voor het cluster, volgens de Vereisten van de databaseserver. De databaseserver moet in het beveiligde datacenter samen met de virtuele hosts worden geplaatst. Maak een database voor sleutelopslag. (U moet deze database maken. Gebruik niet de standaarddatabase. De HDS-toepassingen maken na installatie het databaseschema.) Verzamel de details die de knooppunten gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor snel noodherstel stelt u een back-upomgeving in een ander datacenter in. De back-upomgeving weerspiegelt de productieomgeving van VM's en een back-updatabaseserver. Als de productie bijvoorbeeld 3 VM's heeft waarop HDS-knooppunten worden uitgevoerd, moet de back-upomgeving 3 VM's hebben.
6	Stel een syslog-host in om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Maak een beveiligd back-upbeleid voor de knooppunten voor hybride databeveiliging, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de knooppunten voor hybride databeveiliging. Omdat de knooppunten voor hybride databeveiliging de sleutels opslaan die voor het coderen en decoderen van inhoud worden gebruikt, zal het niet onderhouden van een operationele implementatie leiden tot ONHERSTELBAAR VERLIES van die inhoud. Webex-app-clients slaan hun sleutels in het cachegeheugen, dus een storing is mogelijk niet direct merkbaar, maar wordt na verloop van tijd duidelijk. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Een volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-configuratiebestand zal echter resulteren in onherstelbare klantgegevens. Van de operatoren van de knooppunten voor hybride databeveiliging wordt verwacht dat ze frequente back-ups van de database en het ISO-configuratiebestand bijhouden en dat ze voorbereid zijn om het datacenter voor hybride databeveiliging opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit voor uw knooppunten voor hybride databeveiliging mogelijk maakt, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bits, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, waarmee de lokale configuratiegegevens voor alle knooppunten voor hybride databeveiliging worden opgebouwd. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Vereisten voor Docker-desktops voor meer informatie. Als u de HDS-setuptool wilt installeren en uitvoeren, moet de lokale machine de verbinding hebben die wordt beschreven in Vereisten voor externe connectiviteit.
10	Als u een proxy integreert met hybride databeveiliging, moet u controleren of deze voldoet aan de vereisten voor de proxyserver.

Een cluster voor hybride databeveiliging instellen

Taakstroom implementatie hybride databeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download installatiebestanden Download het OVA-bestand naar uw lokale machine voor later gebruik.
2	Een configuratie-ISO voor de HDS-hosts maken Gebruik de HDS-setuptool om een ISO-configuratiebestand te maken voor de knooppunten voor hybride databeveiliging.
3	De HDS-host-OVA installeren Maak een virtuele machine met het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	VM voor hybride databeveiliging instellen Meld u aan bij de VM-console en stel de aanmeldgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.
5	De HDS-configuratie-ISO uploaden en koppelen Configureer de VM vanuit het ISO-configuratiebestand dat u hebt gemaakt met de HDS-setuptool.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geeft u het type proxy op dat u voor het knooppunt wilt gebruiken en voegt u het proxycertificaat indien nodig toe aan de vertrouwensopslag.
7	Het eerste knooppunt in het cluster registreren Registreer de VM bij de Cisco Webex-cloud als knooppunt voor hybride databeveiliging.
8	Meer knooppunten maken en registreren Voltooi de clustersetup.
9	Activeer HDS met meerdere tenants in Partner Hub. Activeer HDS en beheer tenantorganisaties in Partner Hub.

Voer de eerste installatie uit en download installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u instelt als knooppunten voor hybride databeveiliging). U kunt dit bestand later in het installatieproces gebruiken.

1	Meld u aan bij Partnerhub en klik vervolgens op Services.
2	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik vervolgens op Instellen. Het is essentieel voor het implementatieproces te klikken op Instellen in Partnerhub. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een resource toevoegen en klik op OVA-bestand downloaden op de kaart Software installeren en configureren . Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades voor hybride databeveiliging. Dit kan leiden tot problemen tijdens het upgraden van de toepassing. Zorg ervoor dat u de meest recente versie van het OVA-bestand downloadt. U kunt de OVA ook op elk moment downloaden via het gedeelte Help . Klik op Instellingen > Help > Software voor hybride databeveiliging downloaden. Het downloaden van het OVA-bestand wordt automatisch gestart. Sla het bestand op een locatie op uw computer op.
4	U kunt ook op Implementatiegids voor hybride databeveiliging bekijken klikken om te controleren of er een nieuwere versie van deze handleiding beschikbaar is.

Een configuratie-ISO voor de HDS-hosts maken

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige beheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT

HTTPS-proxy zonder verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT

HTTP-proxy met verificatie

GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT

HTTPS-proxy met verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stabiel

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stabiel

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost, http://127.0.0.1:8080, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in.

Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.

7

Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.

8

Klik op de overzichtspagina van de setuptool op Aan de slag.

9

Op de pagina ISO-import hebt u de volgende opties:

Nee: als u uw eerste HDS-knooppunt maakt, hebt u geen ISO-bestand om te uploaden.
Ja: als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de blader en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als u nog nooit eerder een certificaat hebt geüpload, uploadt u het X.509-certificaat, voert u het wachtwoord in en klikt u op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat is verlopen of u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account in voor HDS om toegang te krijgen tot uw belangrijke gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u Microsoft SQL Server kiest, wordt het veld Verificatietype weergegeven.
(Alleen Microsoft SQL-server ) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam .
- Windows-verificatie: U hebt een Windows-account nodig met de indeling gebruikersnaam@DOMEIN in het veld Gebruikersnaam .
Voer het adres van de databaseserver in de vorm : of : in.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

U kunt een IP-adres gebruiken voor basisverificatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de Databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
Voorkeur geven aan TLS (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS op de databaseserver inschakelt, proberen de knooppunten een gecodeerde verbinding.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databashost en poort . De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het hoofdcertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS-setuptool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege verbindingsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de machine van de HDS-setuptool deze niet kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet door het DNS kan worden omgezet vanaf de knooppunten voor uw HDS-cluster, gebruikt u een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 geeft aan dat u zich aanmeldt bij de Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat deze TLS-codering gebruikt, schakelt u het selectievakje Is uw syslog-server geconfigureerd voor SSL-codering? in.

Als u dit selectievakje inschakelt, moet u een TCP-URL zoals tcp://10.92.43.23:514 invoeren.
Kies in de vervolgkeuzelijst Syslog-record beëindigen kiezen de juiste instelling voor uw ISO-bestand: Kiezen of nieuwe lijn wordt gebruikt voor Graylog en Rsyslog TCP
- Null byte -- \x00
- Regeleinde -- \n: selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige parameters voor databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxGrootte: 10

15

Klik op Doorgaan in het scherm Wachtwoord voor serviceaccounts herstellen .

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen of u ze wilt herstellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een eenvoudig te vinden locatie op.

17

Maak een back-up van het ISO-bestand op uw lokale systeem.

Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.

18

Als u de setuptool wilt afsluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het ISO-configuratiebestand. U hebt deze nodig om meer knooppunten te maken voor herstel of om configuratiewijzigingen aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels te herstellen van uw PostgreSQL- of Microsoft SQL Server-database.

We hebben nooit een kopie van deze sleutel en kunnen niet helpen als u deze verliest.

De HDS-host-OVA installeren

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Een naam en map selecteren voert u een naam van de virtuele machine in voor het knooppunt (bijvoorbeeld 'HDS_Node_1'), kiest u een locatie waar de implementatie van het knooppunt van de virtuele machine zich kan bevinden en klikt u op Volgende.
5	Kies op de pagina Een rekenresource selecteren de bestemming van de rekenresource en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het is voltooid, worden de sjabloongegevens weergegeven.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de resourceneconfiguratie op de pagina Configuratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren op Volgende om het standaard schijfindeling en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie in de lijst met vermeldingen om de gewenste verbinding met de VM te bieden.
10	Configureer de volgende netwerkinstellingen op de pagina Sjabloon aanpassen : Hostnaam: voer de FQDN (hostnaam en domein) of een enkele woord hostnaam voor het knooppunt in. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Gebruik alleen kleine letters in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld om een succesvolle registratie bij de cloud te garanderen. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres: voer het IP-adres in voor de interne interface van het knooppunt. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund. Masker: voer het adres van het subnetmasker in puntdecimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway: voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dienst doet als een toegangspunt naar een ander netwerk. DNS-servers: voer een door komma's gescheiden lijst in met DNS-servers die domeinnamen naar numerieke IP-adressen vertalen. (Er zijn maximaal 4 DNS-vermeldingen toegestaan.) NTP-servers: voer de NTP-server van uw organisatie of een andere externe NTP-server in die voor uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster voor administratieve doeleinden bereikbaar zijn vanaf clients in uw netwerk. Indien gewenst kunt u de configuratie van de netwerkinstelling overslaan en de stappen volgen in De VM voor hybride databeveiliging instellen om de instellingen te configureren vanuit de knooppuntconsole. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op het knooppunt VM en kies Aan/uit > Inschakelen. De software voor hybride databeveiliging wordt als gast geïnstalleerd op de VM-host. U bent nu klaar om u aan te melden bij de console en het knooppunt te configureren. Tips voor probleemoplossing U kunt een vertraging van enkele minuten ervaren voordat de knooppuntcontainers omhoog komen. Tijdens de eerste keer opstarten verschijnt een bridge-firewallbericht op de console, waarbij u zich niet kunt aanmelden.

VM voor hybride databeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het knooppunt voor hybride databeveiliging en om de aanmeldgegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.

1	Selecteer in de VMware vSphere-client de VM van uw knooppunt voor hybride databeveiliging en het tabblad Console . De VM wordt opgestart en er wordt een aanmeldprompt weergegeven. Als de aanmeldingsprompt niet wordt weergegeven, drukt u op Enter.
2	Gebruik de volgende standaardaanmeldgegevens en -wachtwoorden om u aan te melden en de aanmeldgegevens te wijzigen: Aanmelden: `beheer` Wachtwoord: `Cisco` Aangezien u zich voor de eerste keer bij uw VM aanmeldt, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in De HDS-host-OVA installeren, slaat u de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken .
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig indien nodig de hostnaam, het domein of de NTP-server(s) om overeen te stemmen met uw netwerkbeleid. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen worden doorgevoerd.

De HDS-configuratie-ISO uploaden en koppelen

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u hebt gemaakt met de HDS-setuptool.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op een 'need to know'-basis, voor toegang door de VM's van hybride databeveiliging en alle beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen deze beheerders toegang hebben tot de gegevensopslag.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkerdeelvenster van de VMware vSphere-client op de ESXi-server.
Klik op de lijst Hardware van het tabblad Configuratie op Opslag.
Klik in de lijst Gegevensopslag met de rechtermuisknop op de gegevensopslag voor uw VM's en klik op Gegevensopslag bladeren.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand op uw computer hebt gedownload en klik op Openen.
Klik op Ja om de waarschuwing voor het uploaden/downloaden te accepteren en sluit het dialoogvenster Gegevensopslag.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te koppelen vanuit een ISO-bestand van de gegevensopslag en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Schakel Verbonden en Verbinding maken na inschakelen in.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

De volgende stappen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand loskoppelen nadat al uw knooppunten de configuratiewijzigingen hebben opgehaald. Zie (optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de installatie-URL van het HDS-knooppunt `https://[HDS node IP of FQDN]/Setup` in een webbrowser in, voer de beheerders gegevens in die u hebt ingesteld voor het knooppunt en klik vervolgens op aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy: de standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparent Non-Inspecting Proxy: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken en mogen geen wijzigingen vereisen om te werken met een niet-inspecterende proxy. Er is geen certificaat update vereist. Proxy transparant inspecteren: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy: met expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt en deze optie ondersteunt verschillende verificatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer. Proxyprotocol: kies http (toont en beheert alle verzoeken die zijn ontvangen van de client) of https (biedt een kanaal naar de server en de client ontvangt en valideert het servercertificaat). Kies een optie op basis van wat uw proxyserver ondersteunt. Verificatietype: kies uit de volgende verificatietypen: Geen: geen verdere verificatie is vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, voert u deze stappen uit en ziet u vervolgens Modus voor geblokkeerde externe DNS-resolutie uitschakelen.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Het eerste knooppunt in het cluster registreren

Bij deze taak wordt het algemene knooppunt gebruikt dat u hebt gemaakt in De VM voor hybride databeveiliging instellen, wordt het knooppunt geregistreerd bij de Webex-cloud en wordt het omgezet in een knooppunt voor hybride databeveiliging.

Wanneer u uw eerste knooppunt registreert, maakt u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn geïmplementeerd voor redundantie.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een resource toevoegen.
5	Voer in het eerste veld van de kaart Een knooppunt toevoegen een naam in voor het cluster waaraan u uw knooppunt voor hybride databeveiliging wilt toewijzen. We raden u aan een cluster een naam te geven op basis van de plaats waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: "San Francisco", "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw knooppunt in en klik op Toevoegen onderaan het scherm. Dit IP-adres of de FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De VM voor hybride databeveiliging instellen. Er wordt een bericht weergegeven dat aangeeft dat u uw knooppunt kunt registreren bij de Webex.
7	Klik op Naar knooppunt gaan. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw Webex-organisatie voor toegang tot uw knooppunt.
8	Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud.
9	Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Op de pagina Hybride databeveiliging wordt de nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources . Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten maken en registreren

Om extra knooppunten aan uw cluster toe te voegen, maakt u extra VM's en koppelt u hetzelfde ISO-configuratiebestand. Vervolgens registreert u het knooppunt. We raden aan dat u minimaal 3 knooppunten hebt.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Maak een nieuwe virtuele machine van de OVA en herhaal de stappen in De HDS-host-OVA installeren.
2	Stel de eerste configuratie in op de nieuwe VM en herhaal de stappen in De VM voor hybride databeveiliging instellen.
3	Herhaal op de nieuwe VM de stappen in De HDS-configuratie-ISO uploaden en koppelen.
4	Als u een proxy instelt voor uw implementatie, herhaalt u de stappen in Het HDS-knooppunt configureren voor proxyintegratie indien nodig voor het nieuwe knooppunt.
5	Registreer het knooppunt. Selecteer in https://admin.webex.comServices in het menu aan de linkerkant van het scherm. Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Alles weergeven. De pagina Resources hybride databeveiliging wordt weergegeven. Het nieuwe cluster wordt weergegeven op de pagina Resources . Klik op het cluster om de knooppunten weer te geven die aan het cluster zijn toegewezen. Klik op Een knooppunt toevoegen aan de rechterkant van het scherm. Voer het interne IP-adres of de volledig gekwalificeerde domeinnaam van uw knooppunt in en klik op Toevoegen. Er wordt een pagina geopend met een bericht dat aangeeft dat u uw knooppunt kunt registreren bij de Webex-cloud. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw organisatie voor toegang tot uw knooppunt. Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud. Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Het pop-upbericht Knooppunt toegevoegd wordt ook onderaan het scherm in Partnerhub weergegeven. Uw knooppunt is geregistreerd.

Tenantorganisaties beheren voor hybride databeveiliging met meerdere tenants

HDS met meerdere tenants activeren in Partner Hub

Deze taak zorgt ervoor dat alle gebruikers van de klantorganisaties HDS kunnen gaan gebruiken voor lokale coderingssleutels en andere beveiligingsservices.

Voordat u begint

Zorg ervoor dat u het instellen van uw HDS-cluster met meerdere tenants hebt voltooid met het vereiste aantal knooppunten.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken.
4	Klik op HDS activeren op de kaart HDS-status .

Tenantorganisaties toevoegen in Partner Hub

In deze taak wijst u klantorganisaties toe aan uw cluster voor hybride databeveiliging.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het cluster waaraan u wilt dat een klant wordt toegewezen.
5	Ga naar het tabblad Toegewezen klanten .
6	Klik op Klanten toevoegen.
7	Selecteer de klant die u wilt toevoegen in het vervolgkeuzemenu.
8	Klik op Toevoegen. De klant wordt aan het cluster toegevoegd.
9	Herhaal stap 6 tot en met 8 om meerdere klanten aan uw cluster toe te voegen.
10	Klik op Gereed onderaan het scherm zodra u de klanten hebt toegevoegd.

De volgende stappen

Voer de HDS-setuptool uit zoals beschreven in Hoofdsleutels voor klanten maken (CMK's) met de HDS-setuptool om het setupproces te voltooien.

Hoofdsleutels voor de klant maken met de HDS-setuptool

Voordat u begint

Wijs klanten toe aan het juiste cluster zoals beschreven in Tenantorganisaties toevoegen in Partner Hub. Voer de HDS-setuptool uit om het setupproces voor de nieuw toegevoegde klantorganisaties te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het. Zorg ervoor dat u verbinding hebt met uw database om CMK-beheer uit te voeren.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK maken voor alle organisaties of CMK maken : klik op deze knop in de banner bovenaan het scherm om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's maken om CMK's te maken voor alle nieuw toegevoegde organisaties. Klik op ... in de buurt van de status CMK-beheer in behandeling van een specifieke organisatie in de tabel en klik op CMK maken om CMK voor die organisatie te maken.
12	Wanneer het maken van CMK is gelukt, verandert de status in de tabel van CMK-beheer in behandeling in CMK beheerd.
13	Als het maken van CMK is mislukt, wordt een fout weergegeven.

Tenantorganisaties verwijderen

Voordat u begint

Na het verwijderen, kunnen gebruikers van klantorganisaties HDS niet meer gebruiken voor hun coderingsbehoeften en verliezen alle bestaande ruimten. Neem contact op met uw Cisco-partner of accountmanager voordat u klantorganisaties verwijdert.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Alles weergeven.
4	Klik op het tabblad Resources op het cluster waarvan u klantorganisaties wilt verwijderen.
5	Klik op de pagina die wordt geopend op Toegewezen klanten.
6	Klik in de lijst met klantorganisaties die worden weergegeven op ... aan de rechterkant van de klantorganisatie die u wilt verwijderen en klik op Verwijderen uit cluster.

De volgende stappen

Voltooi het verwijderingsproces door de CMK's van de klantorganisaties in te trekken, zoals beschreven in CMK's van tenants die zijn verwijderd uit HDS intrekken.

CMK's van tenants die zijn verwijderd uit HDS intrekken.

Voordat u begint

Verwijder klanten uit het juiste cluster zoals beschreven in Tenantorganisaties verwijderen. Voer de HDS-setuptool uit om het verwijderingsproces voor de klantorganisaties die zijn verwijderd te voltooien.

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de aanmeldgegevens van een Partnerhub-account met volledige beheerdersrechten voor uw organisatie vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.
6	De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Gebruik een webbrowser om naar de localhost, `http://127.0.0.1:8080`, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in. Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.
7	Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.
8	Klik op de overzichtspagina van de setuptool op Aan de slag.
9	Klik op de pagina ISO-import op Ja.
10	Selecteer uw ISO-bestand in de browser en upload het.
11	Ga naar het tabblad Tenant CMK-beheer . Hier vindt u de volgende drie manieren om tenant-CMK's te beheren. CMK intrekken voor alle organisaties of CMK intrekken - Klik op deze knop in de banner bovenaan het scherm om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op de knop CMK's beheren aan de rechterkant van het scherm en klik op CMK's intrekken om de CMK's van alle organisaties die zijn verwijderd in te trekken. Klik op ... in de buurt van de CMK die moet worden ingetrokken status van een specifieke organisatie in de tabel en klik op CMK intrekken om CMK voor die specifieke organisatie in te trekken.
12	Wanneer CMK-intrekking is gelukt, wordt de klantorganisatie niet meer in de tabel weergegeven.
13	Als de CMK-intrekking mislukt, wordt een fout weergegeven.

Uw implementatie voor hybride databeveiliging testen

Uw implementatie van hybride databeveiliging testen

Gebruik deze procedure om coderingsscenario's voor hybride databeveiliging met meerdere tenants te testen.

Voordat u begint

Stel uw implementatie voor hybride databeveiliging met meerdere tenants in.
Zorg ervoor dat u toegang hebt tot het syslog om te controleren of belangrijke verzoeken naar uw implementatie van hybride databeveiliging met meerdere tenants worden doorgegeven.

1

Sleutels voor een bepaalde ruimte worden ingesteld door de maker van de ruimte. Meld u aan bij de Webex-app als een van de gebruikers van de klantorganisatie en maak vervolgens een ruimte.

Als u de implementatie voor hybride databeveiliging deactiveert, is inhoud in ruimten die gebruikers maken niet meer toegankelijk zodra de kopieën in de cache van de client van de coderingssleutels zijn vervangen.

2

Verzend berichten naar de nieuwe ruimte.

3

Controleer de syslog-uitvoer om te verifiëren of de sleutelverzoeken naar uw implementatie voor hybride databeveiliging gaan.

Als u wilt controleren of een gebruiker eerst een beveiligd kanaal naar de KMS instelt, filtert u op kms.data.method=create en kms.data.type=EPHEMERAL_KEY_COLLECTION:

U vindt een vermelding als het volgende (identifiers shortened for readability):

2020-07-21 17:35:34.562 (+0000) INFO KMS [pool-14-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_SLEUTEL_VERZAMELING, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

Als u wilt controleren of een gebruiker een bestaande sleutel van de KMS aanvraagt, filtert u op kms.data.method=retrieve en kms.data.type=KEY:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:19.889 (+0000) INFO KMS [pool-14-thread-31] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuwe KMS-sleutel aanvraagt, filtert u op kms.data.method=create en kms.data.type=KEY_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:21.975 (+0000) INFO KMS [pool-14-thread-33] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

Als u wilt controleren of een gebruiker een nieuw KMS Resource Object (KRO) aanvraagt wanneer een omgeving of andere beschermde resource wordt gemaakt, filtert u op kms.data.method=create en kms.data.type=RESOURCE_COLLECTION:

U zoekt naar een invoer die er als volgt uitziet:

2020-07-21 17:44:22.808 (+0000) INFO KMS [pool-15-thread-1] - [KMS:REQUEST] ontvangen, apparaatId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Hybride databeveiliging controleren

Een statusindicator in Partnerhub geeft aan of alles in orde is met de implementatie van hybride databeveiliging met meerdere tenants. Als u proactief belt, meldt u zich aan voor e-mailmeldingen. U wordt geïnformeerd wanneer er alarmen of software-upgrades zijn die invloed hebben op de service.

1	Selecteer in Partnerhub de optie Services in het menu aan de linkerkant van het scherm.
2	Zoek in het gedeelte Cloudservices naar hybride databeveiliging en klik op Instellingen bewerken. De pagina Instellingen hybride databeveiliging wordt weergegeven.
3	Typ in het gedeelte E-mailmeldingen een of meer door komma's gescheiden e-mailadressen en druk op Enter.

Uw HDS-implementatie beheren

HDS-implementatie beheren

Gebruik de taken die hier worden beschreven om uw implementatie van hybride databeveiliging te beheren.

Planning van clusterupgrade instellen

Software-upgrades voor hybride databeveiliging worden automatisch op clusterniveau uitgevoerd, wat ervoor zorgt dat alle knooppunten altijd dezelfde softwareversie gebruiken. Upgrades worden uitgevoerd volgens de upgradeplanning voor het cluster. Wanneer een software-upgrade beschikbaar wordt, hebt u de optie het cluster handmatig vóór het geplande tijdstip van de upgrade te upgraden. U kunt een specifiek upgradeschema instellen of het standaardschema gebruiken van 3:00 uur Dagelijks in de Verenigde Staten: Amerika/Los Angeles. U kunt er ook voor kiezen om een aankomende upgrade uit te stellen, indien nodig.

De upgradeplanning instellen:

1	Meld u aan bij Partner Hub.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices hybride databeveiliging en klik op Instellen
4	Selecteer het cluster op de pagina Resources hybride databeveiliging.
5	Klik op het tabblad Clusterinstellingen .
6	Selecteer op de pagina Clusterinstellingen bij Upgradeplanning de tijd en tijdzone voor de upgradeplanning. Opmerking: Onder de tijdzone worden de volgende beschikbare upgradedatum en -tijd weergegeven. U kunt de upgrade indien nodig uitstellen tot de volgende dag door op 24 uur uitstellen te klikken.

De knooppuntconfiguratie wijzigen

Soms moet u de configuratie van uw knooppunt voor hybride databeveiliging wijzigen vanwege een bijvoorbeeld:

X.509-certificaten wijzigen vanwege vervaldatum of andere redenen.

We ondersteunen het wijzigen van de CN-domeinnaam van een certificaat niet. Het domein moet overeenkomen met het oorspronkelijke domein dat is gebruikt om de cluster te registreren.
Database-instellingen bijwerken om te wijzigen in een kopie van de PostgreSQL- of Microsoft SQL Server-database.

We ondersteunen het migreren van gegevens van PostgreSQL naar Microsoft SQL Server niet, of op de omgekeerde manier. Als u wilt schakelen tussen de databaseomgevingen, moet u een nieuwe implementatie van hybride databeveiliging starten.
Een nieuwe configuratie maken om een nieuw datacenter voor te bereiden.

Bovendien gebruikt Hybride databeveiliging voor beveiligingsdoeleinden wachtwoorden voor serviceaccounts die een levensduur van negen maanden hebben. Nadat de HDS-setuptool deze wachtwoorden heeft gegenereerd, implementeert u deze in uw HDS-knooppunten in het ISO-configuratiebestand. Wanneer de wachtwoorden van uw organisatie bijna verlopen, ontvangt u een melding van het Webex-team om het wachtwoord voor uw machineaccount opnieuw in te stellen. (Het e-mailbericht bevat de tekst: 'Gebruik het machineaccount API om het wachtwoord bij te werken.') Als uw wachtwoord nog niet is verlopen, geeft de tool u twee opties:

Zachte reset: de oude en nieuwe wachtwoorden werken beide maximaal 10 dagen. Gebruik deze periode om het ISO-bestand op de knooppunten stapsgewijs te vervangen.
Harde reset: de oude wachtwoorden werken niet direct meer.

Als uw wachtwoorden verlopen zonder opnieuw in te stellen, is dit van invloed op uw HDS-service, waarvoor onmiddellijke harde reset en vervanging van het ISO-bestand op alle knooppunten nodig is.

Gebruik deze procedure om een nieuw ISO-configuratiebestand te genereren en dit toe te passen op uw cluster.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige partnerbeheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container in 1.e opent. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving	Variabele
HTTP-proxy zonder verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT`
HTTPS-proxy zonder verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT`
HTTP-proxy met verificatie	`GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`
HTTPS-proxy met verificatie	`GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT`

U moet een kopie van het huidige ISO-configuratiebestand hebben om een nieuwe configuratie te genereren. De ISO bevat de hoofdsleutel voor de versleuteling van PostgreSQL of Microsoft SQL Server-database. U hebt de ISO nodig wanneer u configuratiewijzigingen aan aanbrengen, waaronder databasereferenties, certificaatupdates of wijzigingen aan autorisatiebeleid.

1	Voer de HDS-setuptool uit als u Docker op een lokale machine gebruikt. Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `docker rmi ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker rmi ciscocitg/hds-setup-fedramp:stabiel` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren. Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `docker login -u hdscustomersro` Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `docker pull ciscocitg/hds-setup:stabiel` In FedRAMP-omgevingen: `docker pull ciscocitg/hds-setup-fedramp:stabiel` Zorg ervoor dat u de meest recente setuptool voor deze procedure ophaalt. Versies van de tool die zijn gemaakt vóór 22 februari 2018 hebben niet de schermen voor het opnieuw instellen van wachtwoorden. Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met HTTPSproxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'. Gebruik een browser om verbinding te maken met de localhost, `http://127.0.0.1:8080`. De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost. Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de klant van uw Partnerhub in en klikt u vervolgens op Accepteren om door te gaan. Importeer het huidige ISO-configuratiebestand. Volg de aanwijzingen om het hulpprogramma te voltooien en het bijgewerkte bestand te downloaden. Als u de setuptool wilt afsluiten, typt u `CTRL+C`. Maak een back-up van het bijgewerkte bestand in een ander datacenter.
2	Als slechts één HDS-knooppunt wordt uitgevoerd, maakt u een nieuwe VM voor hybride databeveiliging en registreert u deze met het nieuwe ISO-configuratiebestand. Zie Meer knooppunten maken en registreren voor meer gedetailleerde instructies. Installeer de HDS-host-OVA. Stel de HDS-VM in. Koppel het bijgewerkte configuratiebestand. Registreer het nieuwe knooppunt in Partnerhub.
3	Voor bestaande HDS-knooppunten waar het oudere configuratiebestand op wordt uitgevoerd, moet u het ISO-bestand onder brengen. Voer de volgende procedure uit op elk knooppunt. Werk elk knooppunt bij voordat u het volgende knooppunt uit schakelen: Schakel de virtuele machine uit. Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken. Klik op `CD/DVD-station 1`, selecteer de optie om te koppelen vanaf een ISO-bestand en blader naar de locatie waar u het nieuwe ISO-configuratiebestand hebt gedownload. Schakel het selectievakje Verbinding maken na inschakelen in. Sla uw wijzigingen op en schakel de virtuele machine in.
4	Herhaal stap 3 om de configuratie op elk resterende knooppunt waarop de oude configuratie wordt uitgevoerd te vervangen.

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. Als de DNS-server van het knooppunt geen publieke DNS-namen kan omzetten, wordt het knooppunt automatisch in de geblokkeerde externe DNS-omzettingsmodus geplaatst.

Als uw knooppunten publieke DNS-namen kunnen omzetten via interne DNS-servers, kunt u deze modus uitschakelen door de proxy verbindingstest opnieuw uit te voeren op elk knooppunt.

Voordat u begint

Zorg ervoor dat uw interne DNS-servers publieke DNS-namen kunnen omzetten en dat uw knooppunten met hen kunnen communiceren.

1	Open in een webbrowser de interface van het knooppunt voor hybride databeveiliging (IP-adres/setup, bijvoorbeeld https://192.0.2.0/setup), voer de beheerdersreferenties in die u voor het knooppunt instelt en klik vervolgens op Aanmelden.
2	Ga naar overzicht (de standaardpagina). Indien ingeschakeld, wordt de geblokkeerde externe DNS-omzetting ingesteld op Ja.
3	Ga naar de pagina vertrouwde winkel >-proxy .
4	Klik op proxy verbinding controleren. Als er een bericht wordt weergegeven met de melding dat de externe DNS-omzetting niet is geslaagd, is het knooppunt niet in staat om de DNS-server te bereiken en blijft deze in deze modus. Anders moet de geblokkeerde externe DNS-omzetting worden ingesteld op Nee als u het knooppunt opnieuw hebt opgestart en teruggaat naar de overzichtspagina.

De volgende stappen

Herhaal de proxy verbindingstest op elk knooppunt in uw cluster voor hybride data beveiliging.

Een knooppunt verwijderen

Gebruik deze procedure om een knooppunt voor hybride databeveiliging te verwijderen uit de Webex-cloud. Nadat u het knooppunt uit het cluster hebt verwijderd, verwijdert u de virtuele machine om verdere toegang tot uw beveiligingsgegevens te voorkomen.

1

Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host en schakel de virtuele machine uit.

2

Verwijder het knooppunt:

Meld u aan bij Partnerhub en selecteer Services.
Klik op de kaart Hybride databeveiliging op Alles weergeven om de pagina Resources hybride databeveiliging weer te geven.
Selecteer uw cluster om het deelvenster Overzicht weer te geven.
Klik op het knooppunt dat u wilt verwijderen.
Klik op Dit knooppunt afmelden in het deelvenster dat aan de rechterkant wordt weergegeven
U kunt de registratie van het knooppunt ook ongedaan maken door te klikken op … aan de rechterkant van het knooppunt en Dit knooppunt verwijderen te selecteren.

3

Verwijder de VM in de vSphere-client. (Klik in het linkerdeelvenster met de rechtermuisknop op de VM en klik op Verwijderen.)

Als u de VM niet verwijdert, vergeet dan niet om het ISO-configuratiebestand te ontkoppelen. Zonder het ISO-bestand kunt u de VM niet gebruiken voor toegang tot uw beveiligingsgegevens.

Noodherstel met behulp van stand-bydatacenter

De meest kritieke service die uw cluster voor hybride databeveiliging biedt, is het maken en opslaan van sleutels die worden gebruikt om berichten en andere inhoud die is opgeslagen in de Webex-cloud te coderen. Voor elke gebruiker in de organisatie die is toegewezen aan hybride databeveiliging, worden aanvragen voor het maken van nieuwe sleutels naar het cluster gerouteerd. Het cluster is ook verantwoordelijk voor het retourneren van de gemaakte sleutels aan alle gebruikers die bevoegd zijn om deze op te halen, bijvoorbeeld leden van een gespreksruimte.

Omdat het cluster de kritieke functie uitvoert voor het leveren van deze sleutels, is het absoluut noodzakelijk dat het cluster blijft draaien en dat de juiste back-ups worden onderhouden. Verlies van de database voor hybride databeveiliging of van de configuratie-ISO die voor het schema wordt gebruikt, leidt tot ONHERSTELBAAR VERLIES van klantinhoud. Om dergelijk verlies te voorkomen, zijn de volgende praktijken verplicht:

Als de HDS-implementatie in het primaire datacenter niet beschikbaar wordt door een ramp, volgt u deze procedure om handmatig failover naar het stand-bydatacenter te maken.

Voordat u begint

De registratie van alle knooppunten van Partnerhub ongedaan maken, zoals vermeld in Een knooppunt verwijderen. Gebruik het nieuwste ISO-bestand dat is geconfigureerd voor de knooppunten van het cluster dat eerder actief was, om de hieronder vermelde failoverprocedure uit te voeren.

1	Start de HDS-setuptool en volg de stappen die worden vermeld in Een configuratie-ISO voor de HDS-hosts maken.
2	Voltooi het configuratieproces en sla het ISO-bestand op een eenvoudig te vinden locatie op.
3	Maak een back-up van het ISO-bestand op uw lokale systeem. Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.
4	Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
5	Klik op Instellingen bewerken >CD/DVD-station 1 en selecteer ISO-gegevensopslagbestand. Zorg ervoor dat Verbonden en Verbinding maken bij inschakelen zijn ingeschakeld, zodat bijgewerkte configuratiewijzigingen van kracht kunnen worden nadat de knooppunten zijn gestart.
6	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 15 minuten geen alarmen zijn.
7	Registreer het knooppunt in Partnerhub. Raadpleeg Het eerste knooppunt in het cluster registreren.
8	Herhaal het proces voor elk knooppunt in het stand-bydatacenter.

De volgende stappen

Als het primaire datacenter na failover weer actief wordt, verwijdert u de registratie van de knooppunten van het stand-bydatacenter en herhaalt u het proces van configuratie van de ISO en registratie van de knooppunten van het primaire datacenter, zoals hierboven vermeld.

(Optioneel) ISO ontkoppelen na HDS-configuratie

De standaard HDS-configuratie wordt uitgevoerd met de aangekoppelde ISO. Sommige klanten geven er echter de voorkeur aan dat ISO-bestanden niet continu worden gekoppeld. U kunt het ISO-bestand loskoppelen nadat alle HDS-knooppunten de nieuwe configuratie hebben opgehaald.

U gebruikt nog steeds de ISO-bestanden om configuratiewijzigingen aan te brengen. Wanneer u een nieuwe ISO maakt of een ISO bijwerkt via de setuptool, moet u de bijgewerkte ISO op al uw HDS-knooppunten koppelen. Zodra alle knooppunten de configuratiewijzigingen hebben opgehaald, kunt u de ISO opnieuw loskoppelen met deze procedure.

Voordat u begint

Upgrade al uw HDS-knooppunten naar versie 2021.01.22.4720 of hoger.

1	Sluit een van uw HDS-knooppunten af.
2	Selecteer het HDS-knooppunt in het vCenter Server Appliance.
3	Kies Instellingen bewerken > CD/DVD-station en schakel ISO-gegevensopslagbestand uit.
4	Schakel het HDS-knooppunt in en zorg ervoor dat er gedurende ten minste 20 minuten geen alarmen zijn.
5	Herhaal om de beurt voor elk HDS-knooppunt.

Problemen met hybride databeveiliging oplossen

Waarschuwingen weergeven en problemen oplossen

Een implementatie van Hybride databeveiliging wordt als niet beschikbaar beschouwd als alle knooppunten in het cluster onbereikbaar zijn of als de cluster zo langzaam werkt dat een time-out wordt aangevraagd. Als gebruikers uw cluster voor hybride databeveiliging niet kunnen bereiken, ervaren ze de volgende symptomen:

Er kunnen geen nieuwe ruimten worden gemaakt (kan geen nieuwe sleutels maken)
Berichten en ruimtetitels kunnen niet worden gedecodeerd voor:
- Nieuwe gebruikers die aan een ruimte zijn toegevoegd (kunnen geen sleutels ophalen)
- Bestaande gebruikers in een ruimte met een nieuwe client (kunnen geen sleutels ophalen)
Bestaande gebruikers in een ruimte blijven succesvol draaien zolang hun clients een cache van de coderingssleutels hebben

Het is belangrijk dat u uw cluster voor hybride databeveiliging goed controleert en alle waarschuwingen onmiddellijk adresseert om onderbreking van de service te voorkomen.

Waarschuwingen

Als er een probleem is met de configuratie van hybride databeveiliging, geeft Partnerhub waarschuwingen weer aan de organisatiebeheerder en verzendt u e-mails naar het geconfigureerde e-mailadres. De waarschuwingen behandelen veel algemene scenario's.

Tabel 1. Veelvoorkomende problemen en de stappen om deze op te lossen
Waarschuwen	Actie
Lokale databasetoegang mislukt.	Controleer op databasefouten of problemen met het lokale netwerk.
Verbinding met lokale database mislukt.	Controleer of de databaseserver beschikbaar is en of de juiste referenties van het serviceaccount zijn gebruikt in de knooppuntconfiguratie.
Toegang tot cloudservice mislukt.	Controleer of de knooppunten toegang hebben tot de Webex-servers zoals gespecificeerd in Vereisten voor externe connectiviteit.
De registratie van cloudservice wordt verlengd.	Registratie bij cloudservices is verbroken. De registratie wordt verlengd.
Registratie van cloudservice verbroken.	Registratie bij cloudservices is beëindigd. Service wordt afgesloten.
Service nog niet geactiveerd.	HDS activeren in Partnerhub.
Het geconfigureerde domein komt niet overeen met het servercertificaat.	Zorg ervoor dat uw servercertificaat overeenkomt met het geconfigureerde serviceactiveringsdomein. De meest waarschijnlijke oorzaak is dat de algemene naam van het certificaat onlangs is gewijzigd en nu anders is dan de algemene naam die tijdens de eerste installatie is gebruikt.
Kan niet verifiëren bij cloudservices.	Controleer op de nauwkeurigheid en mogelijke vervaldatum van de referenties van het serviceaccount.
Openen van lokaal keystore-bestand is mislukt.	Controleer op integriteit en wachtwoordnauwkeurigheid in het lokale keystore-bestand.
Het lokale servercertificaat is ongeldig.	Controleer de vervaldatum van het servercertificaat en bevestig dat het is uitgegeven door een vertrouwde certificeringsinstantie.
Kan statistieken niet plaatsen.	Controleer de toegang van het lokale netwerk tot externe cloudservices.
De map /media/configdrive/hds bestaat niet.	Controleer de ISO-koppelconfiguratie op de virtuele host. Controleer of het ISO-bestand bestaat, of het is geconfigureerd om te koppelen bij opnieuw opstarten en of het met succes wordt gekoppeld.
De tenantorganisatie-instellingen zijn niet voltooid voor de toegevoegde organisaties	Voltooi de installatie door CMK's te maken voor nieuw toegevoegde tenantorganisaties met de HDS-setuptool.
De tenantorganisatie is niet voltooid voor de verwijderde organisaties	Voltooi de installatie door CMK's van tenantorganisaties die zijn verwijderd met de HDS-setuptool in te trekken.

Problemen met hybride databeveiliging oplossen

Gebruik de volgende algemene richtlijnen bij het oplossen van problemen met Hybride databeveiliging.

1	Controleer Partnerhub voor waarschuwingen en los alle items op die u daar vindt. Zie de afbeelding hieronder ter referentie.
2	Controleer de uitvoer van de Syslog-server voor activiteit van de implementatie van hybride databeveiliging. Filter op woorden als 'Waarschuwing' en 'Fout' om problemen op te lossen.
3	Neem contact op met Cisco-ondersteuning.

Overige opmerkingen

Bekende problemen voor hybride databeveiliging

Als u uw cluster voor hybride databeveiliging afsluit (door deze te verwijderen in Partner Hub of door alle knooppunten te sluiten), uw ISO-configuratiebestand te verliezen of de toegang tot de keystore-database te verliezen, kunnen gebruikers van de Webex-app van klantorganisaties niet langer ruimten gebruiken onder hun lijst Personen die zijn gemaakt met sleutels van uw KMS. We hebben momenteel geen tijdelijke oplossing of oplossing voor dit probleem en we verzoeken u dringend uw HDS-services niet te beëindigen zodra deze actieve gebruikersaccounts afhandelen.
Een client die een bestaande ECDH-verbinding met een KMS heeft, onderhoudt die verbinding gedurende een bepaalde tijd (waarschijnlijk één uur).

OpenSSL gebruiken om een PKCS12-bestand te genereren

Voordat u begint

OpenSSL is een tool die kan worden gebruikt om het PKCS12-bestand in de juiste indeling te maken voor het laden in de HDS-setuptool. Er zijn andere manieren om dit te doen, en we ondersteunen of promoten de ene weg niet boven de andere.
Als u ervoor kiest OpenSSL te gebruiken, bieden we deze procedure als richtlijn om u te helpen een bestand te maken dat voldoet aan de X.509-certificaatvereisten in X.509-certificaatvereisten. Begrijp deze vereisten voordat u verdergaat.
Installeer OpenSSL in een ondersteunde omgeving. Zie https://www.openssl.org voor de software en documentatie.
Maak een privésleutel.
Start deze procedure wanneer u het servercertificaat ontvangt van uw certificerende instantie (CA).

1	Wanneer u het servercertificaat van uw CA ontvangt, slaat u het op als `hdsnode.pem`.
2	Geef het certificaat weer als tekst en verifieer de details. `openssl x509 -text -noout -in hdsnode.pem`
3	Gebruik een tekstverwerker om een certificaatbundelbestand met de naam `hdsnode-bundle.pem` te maken. Het bundelbestand moet het servercertificaat, eventuele tussenliggende CA-certificaten en de basis-CA-certificaten bevatten in de onderstaande indeling: `----BEGIN CERTIFICATE------ ### Servercertificaat. ### -----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Tussenliggend CA-certificaat. ### ----END CERTIFICATE----------BEGIN CERTIFICATE----- ### Basis CA-certificaat. ### -----END CERTIFICATE-----`
4	Maak het .p12-bestand met de beschrijvende naam `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -naam kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Controleer de details van het servercertificaat. `openssl pkcs12 -in hdsnode.p12` Voer bij de prompt een wachtwoord in om de privésleutel te coderen zodat deze wordt weergegeven in de uitvoer. Controleer vervolgens of de privésleutel en het eerste certificaat de regels bevatten `friendlyName: kms-privésleutel`. Voorbeeld: bash$ openssl pkcs12 -in hdsnode.p12 Voer importwachtwoord in: Mac heeft OK Bag Attributes geverifieerd friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Sleutelkenmerken: Voer de PEM-wachtwoordzin in: Verifiëren - Voer de PEM-wachtwoordzin in: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-privésleutel localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

De volgende stappen

Keer terug naar Aan de vereisten voor hybride databeveiliging voldoen. U gebruikt het bestand hdsnode.p12 en het wachtwoord dat u ervoor hebt ingesteld in Een configuratie-ISO voor de HDS-hosts maken.

U kunt deze bestanden opnieuw gebruiken om een nieuw certificaat aan te vragen wanneer het oorspronkelijke certificaat verloopt.

Verkeer tussen de HDS-knooppunten en de cloud

Verzamelverkeer uitgaande statistieken

De knooppunten voor hybride databeveiliging verzenden bepaalde statistieken naar de Webex-cloud. Hieronder vallen systeemstatistieken voor max. heap, gebruikte heap, CPU-belasting en threadtelling; statistieken op synchrone en asynchrone threads; statistieken over waarschuwingen met een drempel voor coderingsverbindingen, latentie of een aanvraagwachtrijlengte; statistieken in de gegevensopslag; en statistieken voor coderingsverbinding. De knooppunten verzenden gecodeerd sleutelmateriaal via een out-of-band (afzonderlijk van het verzoek) kanaal.

Inkomend verkeer

De knooppunten voor hybride databeveiliging ontvangen de volgende typen inkomend verkeer van de Webex-cloud:

Coderingsverzoeken van clients, die door de coderingsservice worden gerouteerd
Upgrades van de knooppuntsoftware

Het configureren van inktvis-Proxy's voor hybride data beveiliging

WebSocket kan geen verbinding maken via de inktvis-proxy

Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren die vereist zijn voor hybride databeveiliging. Deze secties bevatten leidraden voor het configureren van verschillende versies van inktvis om WSS te negeren: verkeer voor de juiste werking van de services.

Pijlinktvis 4 en 5

Voeg de on_unsupported_protocol richtlijn toe aan squid.conf:

on_unsupported_protocol alles tunnel

Inktvis 3.5.27

De hybride gegevensbeveiliging is getest met de volgende regels die zijn toegevoegd aan inktvis. conf. Deze regels kunnen worden gewijzigd wanneer we functies ontwikkelen en de Webex Cloud bijwerken.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl stap1 at_step SslBump1 acl stap2 at_step SslBump2 acl stap3 at_step SslBump3 ssl_bump bekijk stap1 alle ssl_bump staren stap2 alle ssl_bump bump stap3 alle

Nieuwe en gewijzigde informatie

Deze tabel bevat nieuwe functies of functionaliteiten, wijzigingen in bestaande inhoud en belangrijke fouten die zijn opgelost in de Implementatiehandleiding voor hybride databeveiliging met meerdere tenants.

Datum	Wijzigingen aangebracht
30 januari 2025	SQL-serverversie 2022 toegevoegd aan de lijst met ondersteunde SQL-servers in Vereisten voor databaseserver.
15 januari 2025	Beperkingen van hybride databeveiliging met meerdere tenants toegevoegd.
8 januari 2025	Er is een opmerking toegevoegd in Eerste installatie uitvoeren en installatiebestanden downloaden waarin staat dat het klikken op Instellen op de HDS-kaart in Partner Hub een belangrijke stap is in het installatieproces.
7 januari 2025	Bijgewerkte vereisten voor virtuele host, taakstroom voor implementatie van hybride databeveiliging en installeer de HDS-host-OVA om de nieuwe ESXi 7.0-vereiste weer te geven.
13 december 2024	Eerst gepubliceerd.

Hybride databeveiliging met meerdere tenants deactiveren

Taakstroom voor deactivering van HDS met meerdere tenants

Volg deze stappen om HDS met meerdere tenants volledig te deactiveren.

Voordat u begint

Deze taak mag alleen worden uitgevoerd door een volledige partnerbeheerder.

1	Verwijder alle klanten uit al uw clusters, zoals vermeld in Tenantorganisaties verwijderen.
2	Trek de CMK's van alle klanten in, zoals vermeld in CMK's van tenants die zijn verwijderd uit HDS intrekken..
3	Verwijder alle knooppunten uit al uw clusters, zoals vermeld in Een knooppunt verwijderen.
4	Verwijder al uw clusters uit Partnerhub met een van de volgende twee methoden. Klik op het cluster dat u wilt verwijderen en selecteer Dit cluster verwijderen in de rechterbovenhoek van de overzichtspagina. Klik op de pagina Resources op ... aan de rechterkant van een cluster en selecteer Cluster verwijderen.
5	Klik op het tabblad Instellingen op de overzichtspagina Hybride databeveiliging en klik op HDS deactiveren op de HDS-statuskaart.

Aan de slag met hybride databeveiliging voor meerdere tenants

Overzicht van hybride databeveiliging met meerdere tenants

Vanaf dag één is gegevensbeveiliging de primaire focus geweest bij het ontwerpen van de Webex-app. De hoeksteen van deze beveiliging is end-to-end-inhoudscodering, ingeschakeld door clients van de Webex-app die communiceren met de Key Management Service (KMS). De KMS is verantwoordelijk voor het maken en beheren van de cryptografiesleutels die clients gebruiken om berichten en bestanden dynamisch te coderen en te decoderen.

Standaard krijgen alle klanten van de Webex-app end-to-end-codering met dynamische sleutels die zijn opgeslagen in de cloud-KMS, in de beveiligingsruimte van Cisco. Hybride databeveiliging verplaatst de KMS en andere beveiligingsgerelateerde functies naar uw bedrijfsdatacenter, dus niemand maar u beschikt over de sleutels voor uw gecodeerde inhoud.

Met Hybride databeveiliging voor meerdere tenants kunnen organisaties HDS gebruiken via een vertrouwde lokale partner, die kan optreden als serviceprovider en codering en andere beveiligingsservices op locatie kan beheren. Met deze instelling kan de partnerorganisatie volledige controle hebben over de implementatie en het beheer van coderingssleutels en zorgen ervoor dat gebruikersgegevens van klantorganisaties veilig zijn tegen externe toegang. Partnerorganisaties stellen HDS-instanties in en maken indien nodig HDS-clusters. Elk exemplaar kan meerdere klantorganisaties ondersteunen, in tegenstelling tot een reguliere HDS-implementatie die beperkt is tot één organisatie.

Hoewel partnerorganisaties de implementatie en het beheer onder controle hebben, hebben ze geen toegang tot gegevens en inhoud die door klanten zijn gegenereerd. Deze toegang is beperkt tot klantorganisaties en hun gebruikers.

Hierdoor kunnen kleinere organisaties ook HDS gebruiken, omdat sleutelbeheerservice en beveiligingsinfrastructuur zoals datacenters eigendom zijn van de vertrouwde lokale partner.

Hoe hybride databeveiliging met meerdere tenants gegevenssoevereiniteit en gegevenscontrole biedt

Door gebruikers gegenereerde inhoud wordt beschermd tegen externe toegang, zoals cloudserviceproviders.
Lokale vertrouwde partners beheren de coderingssleutels van klanten met wie ze al een bestaande relatie hebben.
Optie voor lokale technische ondersteuning, indien verstrekt door de partner.
Ondersteunt inhoud voor vergaderingen, berichten en gesprekken.

Dit document is bedoeld om partnerorganisaties te helpen bij het instellen en beheren van klanten onder een systeem voor hybride databeveiliging met meerdere tenants.

Beperkingen van hybride databeveiliging met meerdere tenants

Partnerorganisaties mogen geen bestaande HDS-implementatie actief hebben in Control Hub.
Tenant- of klantorganisaties die door een partner willen worden beheerd, mogen geen bestaande HDS-implementatie hebben in Control Hub.
Zodra Multi-tenant HDS door de partner is geïmplementeerd, gaan alle gebruikers van klantorganisaties en gebruikers van de partnerorganisatie gebruikmaken van Multi-tenant HDS voor hun coderingsservices.

De partnerorganisatie en klantorganisaties die zij beheren, bevinden zich in dezelfde HDS-implementatie voor meerdere tenants.

De partnerorganisatie gebruikt geen Cloud KMS meer nadat een multi-tenant-HDS is geïmplementeerd.
Er is geen mechanisme om sleutels terug te verplaatsen naar Cloud KMS na een HDS-implementatie.
Momenteel kan elke HDS-implementatie met meerdere tenants slechts één cluster hebben, met meerdere knooppunten eronder.
Beheerdersrollen hebben bepaalde beperkingen. Zie het onderstaande gedeelte voor meer informatie.

Rollen in hybride databeveiliging met meerdere tenants

Volledige partnerbeheerder : kan instellingen beheren voor alle klanten die de partner beheert. Kan ook beheerdersrollen toewijzen aan bestaande gebruikers in de organisatie en specifieke klanten toewijzen die moeten worden beheerd door partnerbeheerders.
Partnerbeheerder : kan instellingen beheren voor klanten die door de beheerder zijn ingericht of die aan de gebruiker zijn toegewezen.
Volledige beheerder - Beheerder van de partnerorganisatie die bevoegd is om taken uit te voeren zoals het wijzigen van organisatie-instellingen, het beheren van licenties en het toewijzen van rollen.

End-to-end installatie en beheer van alle klantorganisaties met meerdere tenants : volledige partnerbeheerder en volledige beheerdersrechten vereist.
Beheer van toegewezen tenantorganisaties : partnerbeheerders en volledige beheerdersrechten vereist.

Architectuur beveiligingsrealm

De Webex-cloudarchitectuur scheidt verschillende typen services in verschillende realms of vertrouwensdomeinen, zoals hieronder afgebeeld.

Laten we voor meer informatie over hybride databeveiliging eerst naar deze pure cloudcase kijken, waarbij Cisco alle functies in zijn clouddomeinen biedt. De identiteitsservice, de enige plaats waar gebruikers rechtstreeks gecorreleerd kunnen worden met hun persoonlijke informatie, zoals hun e-mailadres, staat logischerwijs en fysiek los van de beveiligingsruimte in datacenter B. Beide staan op hun beurt los van de ruimte waar gecodeerde inhoud uiteindelijk wordt opgeslagen, in datacenter C.

In dit diagram is de client de Webex-app die op de laptop van een gebruiker wordt uitgevoerd en is de identiteitsservice geverifieerd. Wanneer de gebruiker een bericht opstelt om naar een ruimte te verzenden, worden de volgende stappen uitgevoerd:

De client brengt een beveiligde verbinding tot stand met de sleutelbeheerservice (KMS) en vraagt vervolgens een sleutel aan om het bericht te coderen. De beveiligde verbinding gebruikt ECDH en de KMS codeert de sleutel met een AES-256-hoofdsleutel.
Het bericht wordt gecodeerd voordat het de client verlaat. De client verzendt deze naar de indexeringsservice, die gecodeerde zoekindexen maakt om te helpen bij toekomstige zoekopdrachten naar de inhoud.
Het gecodeerde bericht wordt naar de nalevingsservice verzonden voor nalevingscontroles.
Het gecodeerde bericht wordt opgeslagen in de opslagrealm.

Wanneer u hybride databeveiliging implementeert, verplaatst u de functies van de beveiligingsregio (KMS, indexering en naleving) naar uw datacenter op locatie. De andere cloudservices waaruit Webex bestaat (inclusief identiteits- en inhoudsopslag) blijven in de rijken van Cisco.

Samenwerken met andere organisaties

Gebruikers in uw organisatie kunnen regelmatig de Webex-app gebruiken om samen te werken met externe deelnemers in andere organisaties. Wanneer een van uw gebruikers een sleutel aanvraagt voor een ruimte die eigendom is van uw organisatie (omdat deze is gemaakt door een van uw gebruikers), verzendt uw KMS de sleutel naar de client via een beveiligd ECDH-kanaal. Wanneer een andere organisatie echter eigenaar is van de sleutel voor de ruimte, leidt uw KMS het verzoek naar de Webex-cloud via een afzonderlijk ECDH-kanaal om de sleutel van de juiste KMS op te halen. Vervolgens stuurt u de sleutel terug naar uw gebruiker op het oorspronkelijke kanaal.

De KMS-service die op Organisatie A wordt uitgevoerd, valideert de verbindingen met KMS's in andere organisaties met behulp van x.509 PKI-certificaten. Zie Uw omgeving voorbereiden voor meer informatie over het genereren van een x.509-certificaat dat u wilt gebruiken met uw implementatie van hybride databeveiliging met meerdere tenants.

Verwachtingen voor het implementeren van hybride databeveiliging

Een implementatie van Hybride databeveiliging vereist aanzienlijke inzet en een besef van de risico's die verbonden zijn aan het bezitten van coderingssleutels.

Voor het implementeren van hybride databeveiliging moet u het volgende opgeven:

Een beveiligd datacenter in een land dat een ondersteunde locatie is voor de Cisco Webex Teams-abonnementen.
De apparatuur, software en netwerktoegang die worden beschreven in Uw omgeving voorbereiden.

Volledig verlies van de configuratie-ISO die u voor hybride databeveiliging maakt of de database die u opgeeft, leidt tot het verlies van de sleutels. Sleutelverlies voorkomt dat gebruikers ruimte-inhoud en andere gecodeerde gegevens decoderen in de Webex-app. Als dit gebeurt, kunt u een nieuwe implementatie maken, maar is alleen nieuwe inhoud zichtbaar. Om verlies van toegang tot gegevens te voorkomen, moet u:

Beheer de back-up en het herstel van de database en de configuratie-ISO.
Wees voorbereid om snel noodherstel uit te voeren als zich een catastrofe voordoet, zoals een storing van de databaseselectie of een ramp in een datacenter.

Er is geen mechanisme om sleutels terug naar de cloud te verplaatsen na een HDS-implementatie.

Installatieproces op hoog niveau

In dit document worden de installatie en het beheer van een implementatie van hybride databeveiliging met meerdere tenants behandeld:

Hybride databeveiliging instellen: dit omvat het voorbereiden van de vereiste infrastructuur en het installeren van hybride databeveiligingssoftware, het bouwen van een HDS-cluster, het toevoegen van tenantorganisaties aan de cluster en het beheren van hun Customer Main Keys (CMK's). Hiermee kunnen alle gebruikers van uw klantorganisaties uw cluster voor hybride databeveiliging gebruiken voor beveiligingsfuncties.

De installatie-, activerings- en beheerfasen worden in detail behandeld in de volgende drie hoofdstukken.
Uw implementatie van hybride databeveiliging onderhouden: de Webex-cloud biedt automatisch doorlopende upgrades. Uw IT-afdeling kan ondersteuning van niveau één bieden voor deze implementatie en indien nodig contact opnemen met Cisco-ondersteuning. U kunt meldingen op het scherm gebruiken en waarschuwingen op basis van e-mail instellen in Partner Hub.
Algemene waarschuwingen, stappen voor het oplossen van problemen en bekende problemen begrijpen: als u problemen ondervindt met het implementeren of gebruiken van hybride databeveiliging, kan het laatste hoofdstuk van deze handleiding en de bijlage Bekende problemen u helpen bij het bepalen en oplossen van het probleem.

Implementatiemodel voor hybride databeveiliging

In uw bedrijfsdatacenter implementeert u hybride databeveiliging als een enkele cluster knooppunten op afzonderlijke virtuele hosts. De knooppunten communiceren met de Webex-cloud via beveiligde websockets en beveiligde HTTP.

Tijdens het installatieproces voorzien we u van het OVA-bestand om het virtuele apparaat in te stellen op de door u geleverde VM's. U gebruikt de HDS-setuptool om een aangepast ISO-bestand voor clusterconfiguratie te maken dat u op elk knooppunt koppelt. Het cluster voor hybride databeveiliging gebruikt uw opgegeven Syslogd-server en PostgreSQL- of Microsoft SQL Server-database. (U configureert de Syslogd- en databaseverbindingsgegevens in de HDS-setuptool.)

Implementatiemodel voor hybride databeveiliging

Het minimum aantal knooppunten dat u in een cluster kunt hebben, is twee. We raden ten minste drie per cluster aan. Het hebben van meerdere knooppunten zorgt ervoor dat de service niet wordt onderbroken tijdens een software-upgrade of andere onderhoudsactiviteiten op een knooppunt. (De Webex-cloud werkt slechts één knooppunt tegelijk bij.)

Alle knooppunten in een cluster hebben toegang tot dezelfde belangrijke gegevensopslag en logboekactiviteit tot dezelfde syslog-server. De knooppunten zelf zijn staatloos en handelen sleutelverzoeken af op ronde-robin-manier, zoals aangegeven door de cloud.

Knooppunten worden actief wanneer u ze registreert in Partner Hub. Als u een afzonderlijk knooppunt uit dienst wilt nemen, kunt u de registratie ongedaan maken en later indien nodig opnieuw registreren.

Stand-by-datacenter voor noodherstel

Tijdens de implementatie stelt u een beveiligd stand-by datacenter in. In het geval van een datacenterramp kunt u de implementatie handmatig naar het stand-bydatacenter mislukken.

De databases van de actieve en stand-bydatacenters zijn gesynchroniseerd met elkaar, waardoor de tijd die nodig is om de failover uit te voeren, wordt geminimaliseerd.

De actieve knooppunten voor hybride databeveiliging moeten zich altijd in hetzelfde datacenter bevinden als de actieve databaseserver.

Proxy ondersteuning

Hybride gegevensbeveiliging biedt ondersteuning voor expliciete, transparante inspectie en het niet-geïnspecteerde proxy's. U kunt deze proxy's koppelen aan uw implementatie zodat u verkeer van de onderneming kunt beveiligen en controleren naar de Cloud. U kunt een platformbeheer interface gebruiken op de knooppunten voor certificaatbeheer en de algehele verbindingsstatus controleren nadat u de proxy op de knooppunten hebt ingesteld.

De knooppunten voor hybride data beveiliging ondersteunen de volgende proxy opties:

Geen proxy: de standaard als u het HDS-knooppunt niet gebruikt, stelt u de vertrouwensarchief- en proxyconfiguratie in om een proxy te integreren. Er is geen certificaat update vereist.
Transparante proxy zonder inspectie: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres en hoeven geen wijzigingen te vereisen om te werken met een proxy zonder inspectie. Er is geen certificaat update vereist.
Transparent tunneling of inspecting proxy: de knooppunten zijn niet geconfigureerd voor het gebruik van een specifiek proxyserveradres. Er zijn geen HTTP-of HTTPS-configuratiewijzigingen nodig op de knooppunten. De knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS).
Expliciete proxy: met expliciete proxy geeft u de HDS-knooppunten aan welke proxyserver en verificatieschema moeten worden gebruikt. Als u een expliciete proxy wilt configureren, moet u op elk knooppunt de volgende informatie invoeren:
1. Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken.
2. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer.
3. Proxyprotocol: afhankelijk van wat uw proxyserver ondersteunt, kiest u tussen de volgende protocollen:
  - HTTP: alle aanvragen die de client verzendt, worden weergegeven en beheerd.
  - HTTPS: geeft een kanaal aan de server. De client ontvangt en valideert het certificaat van de server.
4. Verificatietype: kies uit de volgende verificatietypen:
  - Geen: geen verdere verificatie is vereist.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
  - Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering.
    
    Beschikbaar als u HTTP of HTTPS als het proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.
  - Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden.
    
    Alleen beschikbaar als u HTTPS als proxy protocol selecteert.
    
    Hiervoor moet u de gebruikersnaam en het wachtwoord invoeren op elk knooppunt.

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Dit diagram toont een voorbeeld van een verbinding tussen de hybride gegevensbeveiliging, het netwerk en een proxy. Voor de instellingen voor transparant inspecteren en HTTPS expliciet controleren, moeten dezelfde hoofdcertificaat op de proxy en op de knooppunten voor hybride data beveiliging worden geïnstalleerd.

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Wanneer u een knooppunt registreert of de proxyconfiguratie van het knooppunt controleert, controleert het proces de weergave van DNS en de verbinding met de Cisco Webex Cloud. In implementaties met expliciete proxyconfiguraties die geen externe DNS-omzetting voor interne clients toestaan, als het knooppunt de DNS-servers niet kan opvragen, wordt de geblokkeerde externe DNS-omzettingsmodus automatisch ingeschakeld. In deze modus kan de registratie van knooppunten en andere proxy connectiviteitstests worden voortgezet.

Uw omgeving voorbereiden

Vereisten voor hybride databeveiliging met meerdere tenants

Cisco Webex-licentievereisten

Hybride databeveiliging met meerdere tenants implementeren:

Partnerorganisaties: Neem contact op met uw Cisco-partner of accountmanager en zorg ervoor dat de functie voor meerdere tenants is ingeschakeld.
Tenantorganisaties: U moet het Pro-pakket voor Cisco Webex Control Hub hebben. (Zie https://www.cisco.com/go/pro-pack.)

Vereisten voor Docker Desktop

Voordat u uw HDS-knooppunten installeert, moet u Docker Desktop gebruiken om een installatieprogramma uit te voeren. Docker heeft onlangs zijn licentiemodel bijgewerkt. Uw organisatie kan een betaald abonnement voor Docker Desktop vereisen. Zie het Docker-blogbericht ' Docker is bezig ons productabonnement bij te werken en uit te breiden' voor meer informatie.

X.509-certificaatvereisten

De certificaatketen moet aan de volgende vereisten voldoen:

Tabel 1. X.509-certificaatvereisten voor implementatie van hybride databeveiliging
Vereiste	Details
Ondertekend door een vertrouwde certificeringsinstantie (CA)	Standaard vertrouwen we de CA's in de lijst met Mozilla (met uitzondering van WoSign en StartCom) op https://wiki.mozilla.org/CA:IncludedCAs.
Draagt een CN-domeinnaam (Common Name) die uw implementatie voor hybride databeveiliging identificeert Is geen wildcardcertificaat	De algemene naam hoeft niet bereikbaar te zijn of een live host te zijn. We raden u aan een naam te gebruiken die overeenkomt met uw organisatie, bijvoorbeeld `hds.bedrijf.com`. De algemene naam mag geen * (jokerteken) bevatten. De algemene naam wordt gebruikt om de knooppunten voor hybride databeveiliging te verifiëren naar Webex-app-clients. Alle knooppunten voor hybride databeveiliging in uw cluster gebruiken hetzelfde certificaat. Uw KMS identificeert zichzelf met het CN-domein, niet elk domein dat is gedefinieerd in de x.509v3 SAN-velden. Wanneer u een knooppunt met dit certificaat hebt geregistreerd, bieden we geen ondersteuning voor het wijzigen van de CN-domeinnaam.
Niet-SHA1-handtekening	De KMS-software biedt geen ondersteuning voor SHA1-handtekeningen voor het valideren van verbindingen met KMS's van andere organisaties.
Opgemaakt als een met een wachtwoord beveiligd PKCS #12-bestand Gebruik de beschrijvende naam `kms-private-key` om het certificaat, de privésleutel en eventuele aanvullende certificaten te taggen om te uploaden.	U kunt een conversieprogramma zoals OpenSSL gebruiken om de indeling van uw certificaat te wijzigen. U moet het wachtwoord invoeren wanneer u de HDS-setuptool uitvoert.

De KMS-software dwingt geen beperkingen op het sleutelgebruik of het uitgebreide sleutelgebruik af. Sommige certificeringsinstanties vereisen dat uitgebreide gebruiksbeperkingen voor elk certificaat worden toegepast, zoals serververificatie. Het is oké om de serververificatie of andere instellingen te gebruiken.

Vereisten voor virtuele host

De virtuele hosts die u als knooppunten voor hybride databeveiliging in uw cluster instelt, hebben de volgende vereisten:

Ten minste twee afzonderlijke hosts (3 aanbevolen) die zich samen in hetzelfde beveiligde datacenter bevinden
VMware ESXi 7.0 (of hoger) is geïnstalleerd en wordt uitgevoerd.

Als u een eerdere versie van ESXi hebt, moet u upgraden.
Minimaal 4 vCPU's, 8 GB hoofdgeheugen, 30 GB lokale harde schijfruimte per server

Vereisten voor databaseserver

Maak een nieuwe database voor sleutelopslag. Gebruik de standaarddatabase niet. De HDS-toepassingen maken na installatie het databaseschema.

Er zijn twee opties voor databaseserver. De vereisten voor elk ervan zijn als volgt:

Tabel 2. Vereisten voor databaseserver per type database
PostgreSQL	Microsoft SQL-server
PostgreSQL 14, 15 of 16, geïnstalleerd en actief.	SQL Server 2016, 2017, 2019 of 2022 (Enterprise of Standaard) geïnstalleerd. SQL Server 2016 vereist Service Pack 2 en cumulatieve update 2 of hoger.
Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)	Minimaal 8 vCPU's, 16 GB hoofdgeheugen, voldoende ruimte op de harde schijf en controle om ervoor te zorgen dat dit niet wordt overschreden (2 TB aanbevolen als u de database lange tijd wilt uitvoeren zonder de opslag te vergroten)

De HDS-software installeert momenteel de volgende stuurprogrammaversies voor communicatie met de databaseserver:

PostgreSQL

Microsoft SQL-server

Postgres JDBC driver 42.2.5

SQL Server JDBC-stuurprogramma 4.6

Deze stuurprogrammaversie ondersteunt SQL Server Always On (Always On Failover-clusterinstanties en Always On-beschikbaarheidsgroepen).

Aanvullende vereisten voor Windows-verificatie met Microsoft SQL Server

Als u wilt dat HDS-knooppunten Windows-verificatie gebruiken om toegang te krijgen tot uw keystore-database op Microsoft SQL Server, hebt u de volgende configuratie nodig in uw omgeving:

De HDS-knooppunten, de Active Directory-infrastructuur en MS SQL Server moeten allemaal worden gesynchroniseerd met NTP.
Het Windows-account dat u aan HDS-knooppunten verstrekt, moet lees- en schrijftoegang hebben tot de database.
De DNS-servers die u aan HDS-knooppunten verstrekt, moeten uw Key Distribution Center (KDC) kunnen oplossen.
U kunt het exemplaar van de HDS-database op uw Microsoft SQL-server registreren als een Service Principal Name (SPN) in uw Active Directory. Zie Een hoofdnaam voor de service registreren voor Kerberos-verbindingen.

De HDS-setuptool, HDS-launcher en lokale KMS moeten allemaal Windows-verificatie gebruiken om toegang te krijgen tot de keystore-database. Ze gebruiken de details uit uw ISO-configuratie om de SPN te maken wanneer ze toegang aanvragen met Kerberos-verificatie.

Vereisten voor externe connectiviteit

Configureer uw firewall om de volgende connectiviteit voor de HDS-toepassingen toe te staan:

Toepassing	Protocol	Poort	Richting vanuit app	Bestemming
Knooppunten voor hybride databeveiliging	TCP	443	Uitgaande HTTPS en WSS	Webex-servers: .wbx2.com .ciscospark.com Alle Common Identity-hosts Andere URL's die voor hybride databeveiliging worden vermeld in de tabel Aanvullende URL's voor hybride Webex-services met Netwerkvereisten voor Webex-services
HDS-setuptool	TCP	443	Uitgaande HTTPS	*.wbx2.com Alle Common Identity-hosts hub.docker.com

De knooppunten voor hybride databeveiliging werken met NAT (Network Access Translation) of achter een firewall, zolang de NAT of firewall de vereiste uitgaande verbindingen met de domeinbestemmingen in de vorige tabel toestaat. Voor verbindingen die inkomend naar de knooppunten voor hybride databeveiliging gaan, mogen er geen poorten zichtbaar zijn vanaf internet. In uw datacenter hebben clients toegang nodig tot de knooppunten voor hybride databeveiliging op TCP-poorten 443 en 22 voor administratieve doeleinden.

De URL's voor de Common Identity-hosts (CI) zijn regiospecifiek. Dit zijn de huidige CI-hosts:

Regio	URL's van host van algemene identiteit
Amerika	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Europese Unie	https://idbroker-eu.webex.com https://identity-eu.webex.com
Canada	https://idbroker-ca.webex.com https://identity-ca.webex.com
Singapore	https://idbroker-sg.webex.com https://identity-sg.webex.com
Verenigde Arabische Emiraten	https://idbroker-ae.webex.com https://identity-ae.webex.com

Vereisten voor de proxy server

We ondersteunen de volgende proxy oplossingen die kunnen worden geïntegreerd met uw knooppunten voor hybride data beveiliging.
- Transparante proxy: Cisco Web Security Appliance (WSA).
- Expliciete proxy-pijlinktvis.
  
  Squid-proxy's die HTTPS-verkeer inspecteren, kunnen het tot stand brengen van websocket-verbindingen (wss:) verstoren. Zie Squid-proxy's configureren voor hybride databeveiliging om dit probleem te omzeilen.
We ondersteunen de volgende combinaties van verificatietypen voor expliciete proxy's:
- Geen verificatie met HTTP of HTTPS
- Basisverificatie met HTTP of HTTPS
- Alleen verificatiesamenvatting met HTTPS
Voor een transparante inspectie proxy of een HTTPS-expliciete proxy moet u een kopie van de hoofdcertificaat van de proxy hebben. De implementatie-instructies in deze handleiding geven aan hoe u de kopie kunt uploaden naar de vertrouwens archieven van de hybride Data Security-knooppunten.
Het netwerk dat de HDS-knooppunten host, moet worden geconfigureerd om uitgaand TCP-verkeer op poort 443 af te ronden via de proxy.
Proxy's die het webverkeer controleren, kunnen de WebSocket-verbindingen belemmeren. Als dit probleem zich voordoet, kunt u het probleem oplossen door het verkeer niet te controleren op wbx2.com en ciscospark.com .

Voldoen aan de vereisten voor hybride databeveiliging

Gebruik deze controlelijst om ervoor te zorgen dat u klaar bent om uw cluster voor hybride databeveiliging te installeren en te configureren.

1	Zorg ervoor dat uw partnerorganisatie de functie Multi-tenant HDS heeft ingeschakeld en haal de referenties op van een account met volledige partnerbeheerder en volledige beheerdersrechten. Zorg ervoor dat uw Webex-klantorganisatie is ingeschakeld voor het Pro-pakket voor Cisco Webex Control Hub. Neem contact op met uw Cisco-partner of accountmanager voor hulp bij dit proces. Klantorganisaties mogen geen bestaande HDS-implementatie hebben.
2	Kies een domeinnaam voor uw HDS-implementatie (bijvoorbeeld `hds.company.com`) en verkrijg een certificaatketen met een X.509-certificaat, een privésleutel en eventuele tussenliggende certificaten. De certificaatketen moet voldoen aan de vereisten in X.509-certificaatvereisten.
3	Bereid identieke virtuele hosts voor die u instelt als knooppunten voor hybride databeveiliging in uw cluster. U hebt minimaal twee afzonderlijke hosts (3 aanbevolen) nodig die samen in hetzelfde beveiligde datacenter staan en die voldoen aan de vereisten in Vereisten voor virtuele hosts.
4	Bereid de databaseserver voor die fungeert als de belangrijkste gegevensopslag voor het cluster, volgens de Vereisten van de databaseserver. De databaseserver moet in het beveiligde datacenter samen met de virtuele hosts worden geplaatst. Maak een database voor sleutelopslag. (U moet deze database maken. Gebruik niet de standaarddatabase. De HDS-toepassingen maken na installatie het databaseschema.) Verzamel de details die de knooppunten gebruiken om te communiceren met de databaseserver: de hostnaam of het IP-adres (host) en de poort de naam van de database (dbname) voor sleutelopslag de gebruikersnaam en het wachtwoord van een gebruiker met alle rechten op de sleutelopslagdatabase
5	Voor snel noodherstel stelt u een back-upomgeving in een ander datacenter in. De back-upomgeving weerspiegelt de productieomgeving van VM's en een back-updatabaseserver. Als de productie bijvoorbeeld 3 VM's heeft waarop HDS-knooppunten worden uitgevoerd, moet de back-upomgeving 3 VM's hebben.
6	Stel een syslog-host in om logboeken van de knooppunten in het cluster te verzamelen. Verzamel het netwerkadres en de syslog-poort (standaard is UDP 514).
7	Maak een beveiligd back-upbeleid voor de knooppunten voor hybride databeveiliging, de databaseserver en de syslog-host. Om onherstelbaar gegevensverlies te voorkomen, moet u minimaal een back-up maken van de database en het ISO-configuratiebestand dat is gegenereerd voor de knooppunten voor hybride databeveiliging. Omdat de knooppunten voor hybride databeveiliging de sleutels opslaan die voor het coderen en decoderen van inhoud worden gebruikt, zal het niet onderhouden van een operationele implementatie leiden tot ONHERSTELBAAR VERLIES van die inhoud. Webex-app-clients slaan hun sleutels in het cachegeheugen, dus een storing is mogelijk niet direct merkbaar, maar wordt na verloop van tijd duidelijk. Hoewel tijdelijke storingen onmogelijk te voorkomen zijn, zijn ze herstelbaar. Een volledig verlies (er zijn geen back-ups beschikbaar) van de database of het ISO-configuratiebestand zal echter resulteren in onherstelbare klantgegevens. Van de operatoren van de knooppunten voor hybride databeveiliging wordt verwacht dat ze frequente back-ups van de database en het ISO-configuratiebestand bijhouden en dat ze voorbereid zijn om het datacenter voor hybride databeveiliging opnieuw op te bouwen als zich een catastrofale storing voordoet.
8	Zorg ervoor dat uw firewallconfiguratie connectiviteit voor uw knooppunten voor hybride databeveiliging mogelijk maakt, zoals beschreven in Vereisten voor externe connectiviteit.
9	Installeer Docker ( https://www.docker.com) op een lokale machine met een ondersteund besturingssysteem (Microsoft Windows 10 Professional of Enterprise 64-bits, of Mac OSX Yosemite 10.10.3 of hoger) met een webbrowser die toegang heeft op http://127.0.0.1:8080. U gebruikt de Docker-instantie om de HDS Setup Tool te downloaden en uit te voeren, waarmee de lokale configuratiegegevens voor alle knooppunten voor hybride databeveiliging worden opgebouwd. Mogelijk hebt u een Docker Desktop-licentie nodig. Zie Vereisten voor Docker-desktops voor meer informatie. Als u de HDS-setuptool wilt installeren en uitvoeren, moet de lokale machine de verbinding hebben die wordt beschreven in Vereisten voor externe connectiviteit.
10	Als u een proxy integreert met hybride databeveiliging, moet u controleren of deze voldoet aan de vereisten voor de proxyserver.

Een cluster voor hybride databeveiliging instellen

Taakstroom implementatie hybride databeveiliging

Voordat u begint

1	Voer de eerste installatie uit en download installatiebestanden Download het OVA-bestand naar uw lokale machine voor later gebruik.
2	Een configuratie-ISO voor de HDS-hosts maken Gebruik de HDS-setuptool om een ISO-configuratiebestand te maken voor de knooppunten voor hybride databeveiliging.
3	De HDS-host-OVA installeren Maak een virtuele machine met het OVA-bestand en voer de eerste configuratie uit, zoals netwerkinstellingen. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
4	VM voor hybride databeveiliging instellen Meld u aan bij de VM-console en stel de aanmeldgegevens in. Configureer de netwerkinstellingen voor het knooppunt als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.
5	De HDS-configuratie-ISO uploaden en koppelen Configureer de VM vanuit het ISO-configuratiebestand dat u hebt gemaakt met de HDS-setuptool.
6	Configureer het HDS-knooppunt voor proxy-integratie Als de netwerkomgeving proxyconfiguratie vereist, geeft u het type proxy op dat u voor het knooppunt wilt gebruiken en voegt u het proxycertificaat indien nodig toe aan de vertrouwensopslag.
7	Het eerste knooppunt in het cluster registreren Registreer de VM bij de Cisco Webex-cloud als knooppunt voor hybride databeveiliging.
8	Meer knooppunten maken en registreren Voltooi de clustersetup.
9	Activeer HDS met meerdere tenants in Partner Hub. Activeer HDS en beheer tenantorganisaties in Partner Hub.

Voer de eerste installatie uit en download installatiebestanden

In deze taak downloadt u een OVA-bestand naar uw computer (niet naar de servers die u instelt als knooppunten voor hybride databeveiliging). U kunt dit bestand later in het installatieproces gebruiken.

1	Meld u aan bij Partnerhub en klik vervolgens op Services.
2	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik vervolgens op Instellen. Het is essentieel voor het implementatieproces te klikken op Instellen in Partnerhub. Ga niet verder met de installatie zonder deze stap te voltooien.
3	Klik op Een resource toevoegen en klik op OVA-bestand downloaden op de kaart Software installeren en configureren . Oudere versies van het softwarepakket (OVA) zijn niet compatibel met de nieuwste upgrades voor hybride databeveiliging. Dit kan leiden tot problemen tijdens het upgraden van de toepassing. Zorg ervoor dat u de meest recente versie van het OVA-bestand downloadt. U kunt de OVA ook op elk moment downloaden via het gedeelte Help . Klik op Instellingen > Help > Software voor hybride databeveiliging downloaden. Het downloaden van het OVA-bestand wordt automatisch gestart. Sla het bestand op een locatie op uw computer op.
4	U kunt ook op Implementatiegids voor hybride databeveiliging bekijken klikken om te controleren of er een nieuwere versie van deze handleiding beschikbaar is.

Een configuratie-ISO voor de HDS-hosts maken

Met de setup voor hybride databeveiliging wordt een ISO-bestand gemaakt. U gebruikt vervolgens de ISO om uw host voor hybride databeveiliging te configureren.

Voordat u begint

De HDS-setuptool wordt als een Docker-container uitgevoerd op een lokale machine. Voer Docker op die machine uit om toegang tot de machine te krijgen. Voor het installatieproces zijn de referenties van een Partnerhub-account met volledige beheerdersrechten vereist.

Als de HDS-setuptool achter een proxy in uw omgeving draait, geeft u de proxyinstellingen (server, poort, aanmeldgegevens) op via de omgevingsvariabelen van Docker wanneer u de Docker-container opent in stap 5 hieronder. Deze tabel geeft een aantal mogelijke omgevingsvariabelen:

Beschrijving

Variabele

HTTP-proxy zonder verificatie

GLOBALE_AGENT_HTTP_PROXY=http://SERVER_IP:POORT

HTTPS-proxy zonder verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:POORT

HTTP-proxy met verificatie

GLOBALE_AGENT_HTTP_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT

HTTPS-proxy met verificatie

GLOBALE_AGENT_HTTPS_PROXY=http://GEBRUIKERSNAAM:PASSWORD@SERVER_IP:POORT
Het ISO-configuratiebestand dat u genereert, bevat de hoofdsleutel voor het coderen van de PostgreSQL- of Microsoft SQL Server-database. U hebt de laatste kopie van dit bestand nodig wanneer u configuratiewijzigingen aanbrengt, zoals deze:
- Aanmeldgegevens database
- Certificaatupdates
- Wijzigingen in autorisatiebeleid
Als u van plan bent databaseverbindingen te coderen, stelt u uw PostgreSQL- of SQL Server-implementatie in voor TLS.

1

Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in:

In normale omgevingen:

docker rmi ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker rmi ciscocitg/hds-setup-fedramp:stabiel

Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.

2

Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in:

docker login -u hdscustomersro

3

Voer bij de wachtwoordprompt deze hash in:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Download de nieuwste stabiele afbeelding voor uw omgeving:

In normale omgevingen:

docker pull ciscocitg/hds-setup:stabiel

In FedRAMP-omgevingen:

docker pull ciscocitg/hds-setup-fedramp:stabiel

5

Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in:

In normale omgevingen zonder proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

In normale omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In normale omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

In FedRAMP-omgevingen zonder een proxy:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTP-proxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

In FedRAMP-omgevingen met een HTTPS-proxy:

docker run -p 8080:8080 --rm -it -e GLOBALE_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

6

De setuptool biedt geen ondersteuning voor verbinding maken met localhost via http://localhost:8080. Gebruik http://127.0.0.1:8080 om verbinding te maken met localhost.

Gebruik een webbrowser om naar de localhost, http://127.0.0.1:8080, te gaan en voer de gebruikersnaam van de beheerder voor Partner Hub in de prompt in.

Het hulpprogramma gebruikt deze eerste invoer van de gebruikersnaam om de juiste omgeving voor dat account in te stellen. In de tool wordt vervolgens de standaardprompt voor aanmelden weergegeven.

7

Wanneer u hierom wordt gevraagd, voert u de aanmeldgegevens voor de Partnerhub-beheerder in en klikt u vervolgens op Aanmelden om toegang tot de vereiste services voor hybride databeveiliging toe te staan.

8

Klik op de overzichtspagina van de setuptool op Aan de slag.

9

Op de pagina ISO-import hebt u de volgende opties:

Nee: als u uw eerste HDS-knooppunt maakt, hebt u geen ISO-bestand om te uploaden.
Ja: als u al HDS-knooppunten hebt gemaakt, selecteert u uw ISO-bestand in de blader en uploadt u het.

10

Controleer of uw X.509-certificaat voldoet aan de vereisten in X.509-certificaatvereisten.

Als u nog nooit eerder een certificaat hebt geüpload, uploadt u het X.509-certificaat, voert u het wachtwoord in en klikt u op Doorgaan.
Als uw certificaat OK is, klikt u op Doorgaan.
Als uw certificaat is verlopen of u het wilt vervangen, selecteert u Nee voor Doorgaan met het gebruik van de HDS-certificaatketen en privésleutel van vorige ISO?. Upload een nieuw X.509-certificaat, voer het wachtwoord in en klik op Doorgaan.

11

Voer het databaseadres en het account in voor HDS om toegang te krijgen tot uw belangrijke gegevensopslag:

Selecteer uw databasetype (PostgreSQL of Microsoft SQL Server).

Als u Microsoft SQL Server kiest, wordt het veld Verificatietype weergegeven.
(Alleen Microsoft SQL-server ) Selecteer uw verificatietype:
- Basisverificatie: U hebt een lokale SQL Server-accountnaam nodig in het veld Gebruikersnaam .
- Windows-verificatie: U hebt een Windows-account nodig met de indeling gebruikersnaam@DOMEIN in het veld Gebruikersnaam .
Voer het adres van de databaseserver in de vorm : of : in.

Voorbeeld:
dbhost.example.org:1433 of 198.51.100.17:1433

U kunt een IP-adres gebruiken voor basisverificatie als de knooppunten geen DNS kunnen gebruiken om de hostnaam op te lossen.

Als u Windows-verificatie gebruikt, moet u een volledig gekwalificeerde domeinnaam invoeren in de indeling dbhost.example.org:1433
Voer de Databasenaam in.
Voer de gebruikersnaam en het wachtwoord in van een gebruiker met alle rechten op de sleutelopslagdatabase.

12

Selecteer een TLS-databaseverbindingsmodus:

Mode	Beschrijving
Voorkeur geven aan TLS (standaardoptie)	HDS-knooppunten vereisen geen TLS om verbinding te maken met de databaseserver. Als u TLS op de databaseserver inschakelt, proberen de knooppunten een gecodeerde verbinding.
TLS verplichten	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS.
TLS verplichten en certificaat ondertekenaar verifiëren	Deze modus is niet van toepassing op SQL Server-databases. HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.
TLS verplichten en certificaat ondertekenaar en hostnaam verifiëren	HDS-knooppunten maken alleen verbinding als de databaseserver kan onderhandelen over TLS. Na het tot stand brengen van een TLS-verbinding vergelijkt het knooppunt de ondertekenaar van het certificaat van de databaseserver met de certificeringsinstantie in het Basiscertificaat van de database. Als deze niet overeenkomen, wordt de verbinding door het knooppunt tot stand brengen. De knooppunten controleren ook of de hostnaam in het servercertificaat overeenkomt met de hostnaam in het veld Databashost en poort . De namen moeten exact overeenkomen, of de verbinding wordt door het knooppunt ingspunt laten merken. Gebruik de onderstaande hoofdcertificaat databasebeheer om het bestand voor deze hoofdcertificaat te uploaden.

Wanneer u het hoofdcertificaat uploadt (indien nodig) en op Doorgaan klikt, test de HDS-setuptool de TLS-verbinding met de databaseserver. De tool controleert ook de ondertekenaar van het certificaat en de hostnaam, indien van toepassing. Als een test mislukt, wordt er een foutmelding weergegeven waarin het probleem wordt beschreven. U kunt kiezen of u de fout wilt negeren en doorgaan met de installatie. (Vanwege verbindingsverschillen kunnen de HDS-knooppunten mogelijk de TLS-verbinding tot stand brengen, zelfs als de machine van de HDS-setuptool deze niet kan testen.)

13

Configureer uw Syslogd-server op de pagina Systeemlogboeken:

Voer de URL van de syslog-server in.

Als de server niet door het DNS kan worden omgezet vanaf de knooppunten voor uw HDS-cluster, gebruikt u een IP-adres in de URL.

Voorbeeld:
udp://10.92.43.23:514 geeft aan dat u zich aanmeldt bij de Syslogd-host 10.92.43.23 op UDP-poort 514.
Als u uw server zo instelt dat deze TLS-codering gebruikt, schakelt u het selectievakje Is uw syslog-server geconfigureerd voor SSL-codering? in.

Als u dit selectievakje inschakelt, moet u een TCP-URL zoals tcp://10.92.43.23:514 invoeren.
Kies in de vervolgkeuzelijst Syslog-record beëindigen kiezen de juiste instelling voor uw ISO-bestand: Kiezen of nieuwe lijn wordt gebruikt voor Graylog en Rsyslog TCP
- Null byte -- \x00
- Regeleinde -- \n: selecteer deze keuze voor Graylog en Rsyslog TCP.
Klik op Doorgaan.

14

(Optioneel) U kunt de standaardwaarde voor sommige parameters voor databaseverbinding wijzigen in Geavanceerde instellingen. Over het algemeen is deze parameter de enige die u mogelijk wilt wijzigen:

app_datasource_connection_pool_maxGrootte: 10

15

Klik op Doorgaan in het scherm Wachtwoord voor serviceaccounts herstellen .

Wachtwoorden voor serviceaccounts hebben een levensduur van negen maanden. Gebruik dit scherm wanneer uw wachtwoorden bijna verlopen of u ze wilt herstellen om eerdere ISO-bestanden ongeldig te maken.

16

Klik op ISO-bestand downloaden. Sla het bestand op een eenvoudig te vinden locatie op.

17

Maak een back-up van het ISO-bestand op uw lokale systeem.

Houd de back-up veilig. Dit bestand bevat een hoofdcoderingssleutel voor de database-inhoud. Beperk de toegang tot alleen beheerders van hybride databeveiliging die configuratiewijzigingen moeten aanbrengen.

18

Als u de setuptool wilt afsluiten, typt u CTRL+C.

De volgende stappen

Maak een back-up van het ISO-configuratiebestand. U hebt deze nodig om meer knooppunten te maken voor herstel of om configuratiewijzigingen aan te brengen. Als u alle kopieën van het ISO-bestand verliest, bent u ook de hoofdsleutel kwijt. Het is niet mogelijk om de sleutels te herstellen van uw PostgreSQL- of Microsoft SQL Server-database.

We hebben nooit een kopie van deze sleutel en kunnen niet helpen als u deze verliest.

De HDS-host-OVA installeren

Gebruik deze procedure om een virtuele machine te maken van het OVA-bestand.

1	Gebruik de VMware vSphere-client op uw computer om u aan te melden bij de virtuele ESXi-host.
2	Selecteer Bestand > OVF-sjabloon implementeren.
3	Geef in de wizard de locatie op van het OVA-bestand dat u eerder hebt gedownload en klik vervolgens op Volgende.
4	Op de pagina Een naam en map selecteren voert u een naam van de virtuele machine in voor het knooppunt (bijvoorbeeld 'HDS_Node_1'), kiest u een locatie waar de implementatie van het knooppunt van de virtuele machine zich kan bevinden en klikt u op Volgende.
5	Kies op de pagina Een rekenresource selecteren de bestemming van de rekenresource en klik vervolgens op Volgende. Er wordt een validatiecontrole uitgevoerd. Nadat het is voltooid, worden de sjabloongegevens weergegeven.
6	Controleer de sjabloongegevens en klik vervolgens op Volgende.
7	Als u wordt gevraagd de resourceneconfiguratie op de pagina Configuratie te kiezen, klikt u op 4 CPU en vervolgens op Volgende.
8	Klik op de pagina Opslag selecteren op Volgende om het standaard schijfindeling en het VM-opslagbeleid te accepteren.
9	Op de pagina Netwerken selecteren kiest u de netwerkoptie in de lijst met vermeldingen om de gewenste verbinding met de VM te bieden.
10	Configureer de volgende netwerkinstellingen op de pagina Sjabloon aanpassen : Hostnaam: voer de FQDN (hostnaam en domein) of een enkele woord hostnaam voor het knooppunt in. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen. Gebruik alleen kleine letters in de FQDN of hostnaam die u voor het knooppunt hebt ingesteld om een succesvolle registratie bij de cloud te garanderen. Hoofdletters worden momenteel niet ondersteund. De totale lengte van de FQDN mag niet langer zijn dan 64 tekens. IP-adres: voer het IP-adres in voor de interne interface van het knooppunt. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund. Masker: voer het adres van het subnetmasker in puntdecimale notatie in. Bijvoorbeeld 255.255.255.0. Gateway: voer het IP-adres van de gateway in. Een gateway is een netwerkknooppunt dat dienst doet als een toegangspunt naar een ander netwerk. DNS-servers: voer een door komma's gescheiden lijst in met DNS-servers die domeinnamen naar numerieke IP-adressen vertalen. (Er zijn maximaal 4 DNS-vermeldingen toegestaan.) NTP-servers: voer de NTP-server van uw organisatie of een andere externe NTP-server in die voor uw organisatie kan worden gebruikt. De standaard NTP-servers werken mogelijk niet voor alle bedrijven. U kunt ook een door komma's gescheiden lijst gebruiken om meerdere NTP-servers in te voeren. Implementeer alle knooppunten op hetzelfde subnet of VLAN, zodat alle knooppunten in een cluster voor administratieve doeleinden bereikbaar zijn vanaf clients in uw netwerk. Indien gewenst kunt u de configuratie van de netwerkinstelling overslaan en de stappen volgen in De VM voor hybride databeveiliging instellen om de instellingen te configureren vanuit de knooppuntconsole. De optie voor het configureren van netwerkinstellingen tijdens de OVA-implementatie is getest met ESXi 7.0. Deze optie is mogelijk niet beschikbaar in eerdere versies.
11	Klik met de rechtermuisknop op het knooppunt VM en kies Aan/uit > Inschakelen. De software voor hybride databeveiliging wordt als gast geïnstalleerd op de VM-host. U bent nu klaar om u aan te melden bij de console en het knooppunt te configureren. Tips voor probleemoplossing U kunt een vertraging van enkele minuten ervaren voordat de knooppuntcontainers omhoog komen. Tijdens de eerste keer opstarten verschijnt een bridge-firewallbericht op de console, waarbij u zich niet kunt aanmelden.

VM voor hybride databeveiliging instellen

Gebruik deze procedure om u voor de eerste keer aan te melden bij de VM-console van het knooppunt voor hybride databeveiliging en om de aanmeldgegevens in te stellen. U kunt de console ook gebruiken om de netwerkinstellingen voor het knooppunt te configureren als u deze niet hebt geconfigureerd op het moment van de OVA-implementatie.

1	Selecteer in de VMware vSphere-client de VM van uw knooppunt voor hybride databeveiliging en het tabblad Console . De VM wordt opgestart en er wordt een aanmeldprompt weergegeven. Als de aanmeldingsprompt niet wordt weergegeven, drukt u op Enter.
2	Gebruik de volgende standaardaanmeldgegevens en -wachtwoorden om u aan te melden en de aanmeldgegevens te wijzigen: Aanmelden: `beheer` Wachtwoord: `Cisco` Aangezien u zich voor de eerste keer bij uw VM aanmeldt, moet u het beheerderswachtwoord wijzigen.
3	Als u de netwerkinstellingen al hebt geconfigureerd in De HDS-host-OVA installeren, slaat u de rest van deze procedure over. Anders selecteert u in het hoofdmenu de optie Configuratie bewerken .
4	Stel een statische configuratie in met IP-adres, masker, gateway en DNS-informatie. Uw knooppunt moet een intern IP-adres en DNS-naam hebben. DHCP wordt niet ondersteund.
5	(Optioneel) Wijzig indien nodig de hostnaam, het domein of de NTP-server(s) om overeen te stemmen met uw netwerkbeleid. U hoeft het domein niet in te stellen op hetzelfde domein dat u hebt gebruikt om het X.509-certificaat te verkrijgen.
6	Sla de netwerkconfiguratie op en start de VM opnieuw op zodat de wijzigingen worden doorgevoerd.

De HDS-configuratie-ISO uploaden en koppelen

Gebruik deze procedure om de virtuele machine te configureren vanuit het ISO-bestand dat u hebt gemaakt met de HDS-setuptool.

Voordat u begint

Omdat het ISO-bestand de hoofdsleutel bevat, mag deze alleen worden weergegeven op een 'need to know'-basis, voor toegang door de VM's van hybride databeveiliging en alle beheerders die mogelijk wijzigingen moeten aanbrengen. Zorg ervoor dat alleen deze beheerders toegang hebben tot de gegevensopslag.

1

Upload het ISO-bestand vanaf uw computer:

Klik in het linkerdeelvenster van de VMware vSphere-client op de ESXi-server.
Klik op de lijst Hardware van het tabblad Configuratie op Opslag.
Klik in de lijst Gegevensopslag met de rechtermuisknop op de gegevensopslag voor uw VM's en klik op Gegevensopslag bladeren.
Klik op het pictogram Bestanden uploaden en klik vervolgens op Bestand uploaden.
Blader naar de locatie waar u het ISO-bestand op uw computer hebt gedownload en klik op Openen.
Klik op Ja om de waarschuwing voor het uploaden/downloaden te accepteren en sluit het dialoogvenster Gegevensopslag.

2

Koppel het ISO-bestand:

Klik in het linkerdeelvenster van de VMware vSphere-client met de rechtermuisknop op de VM en klik op Instellingen bewerken.
Klik op OK om de waarschuwing met beperkte bewerkingsopties te accepteren.
Klik op CD/DVD-station 1, selecteer de optie om te koppelen vanuit een ISO-bestand van de gegevensopslag en blader naar de locatie waar u het ISO-configuratiebestand hebt geüpload.
Schakel Verbonden en Verbinding maken na inschakelen in.
Sla uw wijzigingen op en start de virtuele machine opnieuw op.

De volgende stappen

Als uw IT-beleid dat vereist, kunt u optioneel het ISO-bestand loskoppelen nadat al uw knooppunten de configuratiewijzigingen hebben opgehaald. Zie (optioneel) ISO ontkoppelen na HDS-configuratie voor meer informatie.

Configureer het HDS-knooppunt voor proxy-integratie

Als de netwerkomgeving een proxy vereist, gebruikt u deze procedure om het type proxy op te geven dat u wilt integreren met hybride gegevensbeveiliging. Als u een transparante inspectering proxy of een HTTPS-expliciete proxy kiest, kunt u de interface van het knooppunt gebruiken om de hoofdcertificaat te uploaden en te installeren. U kunt ook de proxyverbinding vanuit de interface controleren en mogelijke problemen oplossen.

Voordat u begint

Zie Proxyondersteuning voor een overzicht van de ondersteunde proxy-opties.
Vereisten voor de proxy server

1	Voer de installatie-URL van het HDS-knooppunt `https://[HDS node IP of FQDN]/Setup` in een webbrowser in, voer de beheerders gegevens in die u hebt ingesteld voor het knooppunt en klik vervolgens op aanmelden.
2	Ga naar vertrouwens archieven voor vertrouwde proxyen kies een optie: Geen proxy: de standaardoptie voordat u een proxy integreert. Er is geen certificaat update vereist. Transparent Non-Inspecting Proxy: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken en mogen geen wijzigingen vereisen om te werken met een niet-inspecterende proxy. Er is geen certificaat update vereist. Proxy transparant inspecteren: knooppunten zijn niet geconfigureerd om een specifiek proxyserveradres te gebruiken. Er zijn geen wijzigingen in de HTTPS-configuratie nodig voor de implementatie van hybride data beveiliging, de HDS-knooppunten hebben echter een hoofdcertificaat nodig zodat ze de proxy kunnen vertrouwen. Het controleren van proxy's wordt meestal gebruikt voor het afdwingen van beleid waarbij websites kunnen worden bezocht en welke typen inhoud niet is toegestaan. Met dit type proxy wordt al uw verkeer gedecodeerd (ook HTTPS). Expliciete proxy: met expliciete proxy vertelt u de client (HDS-knooppunten) welke proxyserver moet worden gebruikt en deze optie ondersteunt verschillende verificatietypen. Nadat u deze optie hebt gekozen, moet u de volgende informatie invoeren: Proxy-IP/FQDN: het adres dat kan worden gebruikt om de proxycomputer te bereiken. Proxypoort: een poortnummer dat de proxy gebruikt om te luisteren naar proxy-verkeer. Proxyprotocol: kies http (toont en beheert alle verzoeken die zijn ontvangen van de client) of https (biedt een kanaal naar de server en de client ontvangt en valideert het servercertificaat). Kies een optie op basis van wat uw proxyserver ondersteunt. Verificatietype: kies uit de volgende verificatietypen: Geen: geen verdere verificatie is vereist. Beschikbaar voor HTTP-of HTTPS-proxy's. Basis: wordt gebruikt voor een HTTP-gebruikersagent om bij het maken van een aanvraag een gebruikersnaam en wachtwoord op te geven. Gebruikt base64-codering. Beschikbaar voor HTTP-of HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Digest: wordt gebruikt om het account te bevestigen voordat gevoelige informatie wordt verzonden. Past een hash-functie toe op de gebruikersnaam en het wachtwoord voordat deze via het netwerk worden verzonden. Alleen beschikbaar voor HTTPS-proxy's. Als u deze optie kiest, moet u ook de gebruikersnaam en het wachtwoord invoeren. Volg de volgende stappen voor een transparante inspectie proxy, een HTTP Explicit-proxy met basisverificatie of een HTTPS-expliciete proxy.
3	Klik op een hoofdcertificaat of eindentiteit certificaat uploadenen navigeer vervolgens naar een kies de hoofdcertificaat voor de proxy. Het certificaat is geüpload, maar is nog niet geïnstalleerd, omdat u het knooppunt opnieuw moet opstarten om het certificaat te installeren. Klik op de pijlpunt punthaak op de naam van de certificaatuitgever voor meer informatie of klik op verwijderen Als u een fout hebt gemaakt en het bestand opnieuw wilt uploaden.
4	Klik op proxy verbinding controleren om de netwerkverbinding tussen het knooppunt en de proxy te testen. Als de verbindingstest mislukt, wordt er een foutbericht weergegeven met de reden en hoe u het probleem kunt oplossen. Als u een bericht ziet dat de externe DNS-omzetting niet is geslaagd, kan het knooppunt de DNS-server niet bereiken. Deze situatie wordt verwacht in veel expliciete proxyconfiguraties. U kunt doorgaan met de installatie en het knooppunt werkt in de geblokkeerde externe DNS-omzettingsmodus. Als u denkt dat dit een fout is, voert u deze stappen uit en ziet u vervolgens Modus voor geblokkeerde externe DNS-resolutie uitschakelen.
5	Nadat de verbindingstest is geslaagd, voor expliciete proxy ingesteld op alleen https, schakelt u het in-/uitschakelen in om alle poort 443/444 HTTPS-aanvragen van dit knooppunt te routeren via de expliciete proxy. Deze instelling vereist 15 seconden om van kracht te worden.
6	Klik op alle certificaten installeren in het vertrouwde archief (wordt weergegeven voor een HTTPS-expliciete proxy of een transparante inspectie proxy) of opnieuw opstarten (wordt weergegeven voor een http-expliciete proxy), lees de prompt en klik vervolgens op installeren Als u klaar bent. Het knooppunt wordt binnen een paar minuten opnieuw opgestart.
7	Nadat het knooppunt opnieuw is opgestart, meldt u zich opnieuw aan indien nodig en opent u de overzichts pagina om te controleren of ze allemaal in de groene status zijn. De controle van de proxyverbinding test alleen een subdomein van webex.com. Als er problemen zijn met de verbinding, is een veelvoorkomend probleem dat sommige Cloud domeinen die worden vermeld in de installatie-instructies, worden geblokkeerd op de proxy.

Het eerste knooppunt in het cluster registreren

Bij deze taak wordt het algemene knooppunt gebruikt dat u hebt gemaakt in De VM voor hybride databeveiliging instellen, wordt het knooppunt geregistreerd bij de Webex-cloud en wordt het omgezet in een knooppunt voor hybride databeveiliging.

Wanneer u uw eerste knooppunt registreert, maakt u een cluster waaraan het knooppunt is toegewezen. Een cluster bevat een of meer knooppunten die zijn geïmplementeerd voor redundantie.

Voordat u begint

Zodra u begint met de registratie van een knooppunt, moet u het binnen 60 minuten voltooien of moet u opnieuw beginnen.
Zorg ervoor dat pop-upblokkeringen in uw browser zijn uitgeschakeld of dat u een uitzondering toestaat voor admin.webex.com.

1	Meld u aan bij https://admin.webex.com.
2	Selecteer Services in het menu aan de linkerkant van het scherm.
3	Zoek in het gedeelte Cloudservices de kaart voor hybride databeveiliging en klik op Instellen.
4	Klik op de pagina die wordt geopend op Een resource toevoegen.
5	Voer in het eerste veld van de kaart Een knooppunt toevoegen een naam in voor het cluster waaraan u uw knooppunt voor hybride databeveiliging wilt toewijzen. We raden u aan een cluster een naam te geven op basis van de plaats waar de knooppunten van de cluster zich geografisch bevinden. Voorbeelden: "San Francisco", "New York" of "Dallas"
6	Voer in het tweede veld het interne IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van uw knooppunt in en klik op Toevoegen onderaan het scherm. Dit IP-adres of de FQDN moet overeenkomen met het IP-adres of de hostnaam en het domein die u hebt gebruikt in De VM voor hybride databeveiliging instellen. Er wordt een bericht weergegeven dat aangeeft dat u uw knooppunt kunt registreren bij de Webex.
7	Klik op Naar knooppunt gaan. Na enkele ogenblikken wordt u omgeleid naar de verbindingstests voor Webex-services op het knooppunt. Als alle tests zijn geslaagd, wordt de pagina Toegang toestaan tot knooppunt voor hybride databeveiliging weergegeven. Daar bevestigt u dat u toestemmingen wilt geven aan uw Webex-organisatie voor toegang tot uw knooppunt.
8	Schakel het selectievakje Toegang toestaan tot uw knooppunt voor hybride databeveiliging in en klik vervolgens op Doorgaan. Uw account is gevalideerd en het bericht 'Registratie voltooid' geeft aan dat uw knooppunt nu is geregistreerd in de Webex-cloud.
9	Klik op de koppeling of sluit het tabblad om terug te gaan naar de pagina Hybride databeveiliging Partnerhub. Op de pagina Hybride databeveiliging wordt de nieuwe cluster met het knooppunt dat u hebt geregistreerd weergegeven onder het tabblad Resources . Het knooppunt downloadt automatisch de nieuwste software uit de cloud.

Meer knooppunten maken en registreren

Om extra knooppunten aan uw cluster toe te voegen, maakt u extra VM's en koppelt u hetzelfde ISO-configuratiebestand. Vervolgens registreert u het knooppunt. We raden aan dat u mini

1	Voer op de opdrachtregel van uw machine de juiste opdracht voor uw omgeving in: In normale omgevingen: `podman rmi ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `podman rmi ciscocitg/hds-setup-fedramp:stable` Hiermee schoont u de vorige afbeeldingen van HDS-setuptools op. Als er geen eerdere afbeeldingen zijn, retourneert deze een fout die u kunt negeren.
2	Als u zich wilt aanmelden bij het Docker image-register, voert u het volgende in: `podman login docker.io -u hdscustomersro`
3	Voer bij de wachtwoordprompt deze hash in: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo`
4	Download de nieuwste stabiele afbeelding voor uw omgeving: In normale omgevingen: `podman pull ciscocitg/hds-setup:stable` In FedRAMP-omgevingen: `podman pull ciscocitg/hds-setup-fedramp:stable`
5	Als het binnen halen is voltooid, voert u de juiste opdracht voor uw omgeving in: In normale omgevingen zonder proxy: `podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` In normale omgevingen met een HTTP-proxy: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In normale omgevingen met een HTTPS-proxy: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` In FedRAMP-omgevingen zonder een proxy: `podman run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTP-proxy: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` In FedRAMP-omgevingen met een HTTPS-proxy: `podman run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Wanneer de container wordt uitgevoerd, ziet u 'Express-server luisteren naar poort 8080'.

Cisco AI Assistant

Hartelijk dank voor uw feedback

Nieuwe en gewijzigde informatie

Nieuwe en gewijzigde informatie

Deactiveer hybride gegevensbeveiliging voor meerdere tenants

Taakstroom voor het deactiveren van HDS in een multi-tenantomgeving

Veelgestelde vragen

Veelgestelde vragen

Vraag: Worden de CMK's en de hoofdsleutel in de ISO of in de database opgeslagen?

Vraag: Wordt één sleutel gebruikt om alle gegevens van klantorganisaties te versleutelen?

Vraag: Wat gebeurt er als ik HDS uitschakel via Partner Hub?

Vraag: Zodra de CMK voor een klantorganisatie is gegenereerd via de HDS Setup-tool, kunnen gebruikers van die klantorganisatie dan direct gebruikmaken van Multi-Tenant HDS?

Vraag: Waarom zie ik geen lijst met klanten wanneer ik op de knop 'Klanten toevoegen' klik in Partner Hub?

Vraag: Wat zijn de gevolgen als alle HDS-nodes uitvallen of als een netwerkprobleem alle HDS-nodes treft?

Vraag: Zijn de gebruikersgegevens van de partnerorganisatie versleuteld met de hoofdsleutel die tijdens het aanmaken van de ISO-image is gegenereerd?

Vraag: Kunnen de partnerorganisatie en de huurdersorganisaties zich in verschillende regio's bevinden (bijvoorbeeld de VS en de EU)?

Vraag: Bestaat er een manier om sleutels terug te zetten naar Cloud KMS?

Vraag: Kan een partner Cloud KMS blijven gebruiken en Multi-Tenant HDS exclusief inzetten voor het beheer van klanten?

Vraag: Hoe kan een partner controleren of hun organisatie Multi-Tenant HDS gebruikt voor encryptie?

Vraag: Bestaat er een alternatief voor Docker Desktop om de HDS Setup-tool uit te voeren?

Vraag: Hoeveel knooppunten kan ik inzetten in een HDS-cluster met meerdere tenants?

Vraag: Wat zijn de netwerkvereisten voor het opzetten van Multi-Tenant HDS?

Vraag: Is Pro Pack voor Control Hub een vereiste voor partnerorganisaties?

Vraag: Wordt HSM ondersteund in Multi-Tenant HDS?

Vraag: Kan ik Multi-Tenant HDS testen met een zelfondertekend certificaat?

Vraag: Is het nodig om de ISO-image elke keer te mounten wanneer een nieuwe klant wordt toegevoegd in Partner Hub?

Vraag: Gaan gebruikers van de partnerorganisatie, nadat Multi-Tenant HDS is geïmplementeerd op Partner Hub, gebruikmaken van een on-premises KMS voor sleutelbeheer?

Ga aan de slag met hybride gegevensbeveiliging voor meerdere tenants.

Overzicht van gegevensbeveiliging in een hybride omgeving met meerdere tenants

Hoe hybride databeveiliging voor meerdere tenants datasoevereiniteit en databeheer mogelijk maakt

Beperkingen van hybride gegevensbeveiliging voor meerdere tenants

Rollen in hybride databeveiliging met meerdere tenants

Architectuur van het beveiligingsdomein

Samenwerken met andere organisaties

Verwachtingen voor de implementatie van hybride gegevensbeveiliging

Installatieproces op hoog niveau

Hybride implementatiemodel voor gegevensbeveiliging

Standby-datacenter voor noodherstel

Richt een standby-datacenter in voor noodherstel.

Proxy ondersteuning

Voorbeeld van knooppunten en proxy voor hybride data beveiliging

Geblokkeerde externe DNS-omzettingsmodus (expliciete proxy configuraties)

Uw omgeving voorbereiden

Vereisten voor hybride gegevensbeveiliging in multi-tenantomgevingen

Cisco Webex-licentievereisten

Vereisten voor Docker Desktop

Certificaatvereisten X.509

Vereisten voor virtuele host

Vereisten voor de databaseserver

Aanvullende vereisten voor Windows-authenticatie bij Microsoft SQL Server.

Externe verbindingsvereisten

Vereisten voor de proxy server

Voltooi de voorwaarden voor hybride gegevensbeveiliging.

Een hybride gegevensbeveiligingscluster opzetten

Taakstroom voor de implementatie van hybride gegevensbeveiliging

Voer de eerste installatie uit en download de installatiebestanden.

Maak een configuratie-ISO voor de HDS-hosts.

Installeer de HDS Host OVA

Configureer de Hybrid Data Security VM

Upload en koppel de HDS-configuratie-ISO.

Configureer het HDS-knooppunt voor proxy-integratie

Registreer het eerste knooppunt in het cluster.

Maak en registreer meer knooppunten.

Beheer tenantorganisaties op een hybride databeveiligingsomgeving met meerdere tenants.

Activeer Multi-Tenant HDS op Partner Hub

Voeg huurdersorganisaties toe in Partner Hub

Maak klanthoofdsleutels (CMK's) aan met behulp van de HDS-configuratietool.

Verwijder huurderorganisaties

Trek de CMK-licenties in van huurders die uit HDS zijn verwijderd.

Test uw implementatie van Hybrid Data Security.

Test uw hybride implementatie voor gegevensbeveiliging.

Monitor de status van de hybride gegevensbeveiliging

Beheer uw HDS-implementatie.

Beheer HDS-implementatie

Clusterupgradeplanning instellen

Wijzig de knooppuntconfiguratie

Geblokkeerde externe DNS-omzettingsmodus uitschakelen

Een knooppunt verwijderen

Rampenherstel met behulp van een standby-datacenter

(Optioneel) ISO ontkoppelen na HDS-configuratie